Zelfbouw project: Firewall / Router / AP

[Theone098]

Tom Paris schreef op zondag 26 september 2021 @ 17:06:
[...]


Vanuit cpu cycles gezien, zou je dan niet beter af zijn met een blocklist op basis van known malicious IP/subnet/AS via pfBlockerNG?

Ja en nee. Minder cpu cycles: ja.
Nee, want zo’n blocklist is:
1. Reactief (pas als anderen ‘last’ hebben gehad).
2. Beschermt niet tegen acties van IP’s die niet op zo’n blocklist staan of er zijn afgehaald.
3. Is afhankelijk van de bereidheid van anderen dit te onderhouden en (gratis) beschikbaar te maken.
4. Gefragmenteerd. Welke blocklist ga je gebruiken voor welk doel? Een ssh bruteforce blocklist bevat niet (alle?) IP’s voor rapid imap scanners of web attacks.

Ideaal* is dus een combi: blocklisten voor een grove eerste filter, IPS/IDS voor de rest.

*Ideaal, maar niet voor de CPU ;-).

Edit: een IPS instellen is veel werk. Je moet de achterliggende infra kennen en weten wat er draait. En dat verkeer ga je controleren. Lukraak iets aanzetten of alles blokkeren werkt niet of juist averechts.

[ Voor 10% gewijzigd door Theone098 op 26-09-2021 17:31 ]

[lolgast]

Ik blokkeer (op mijn Mikrotik) alle IP’s die een poort benaderen die niet ge-dstnat is voor 24 uur. En die IP’s mogen gedurende die periode ook niet bij wel openstaande poorten komen. Aangezien ik alleen 80/443 open heb staan, is de kans klein dat ze daar mee beginnen mochten ze me scannen. En anders heb ik pech.

Ik heb een tijd geleden lang nagedacht of de extra kosten die IPS ondersteuning voor mij de meerprijs waard was. Met bovenstaande constructie is het antwoord voor mij: Nee

[Theone098]

lolgast schreef op zondag 26 september 2021 @ 17:48:
Ik blokkeer (op mijn Mikrotik) alle IP’s die een poort benaderen die niet ge-dstnat is voor 24 uur. En die IP’s mogen gedurende die periode ook niet bij wel openstaande poorten komen. Aangezien ik alleen 80/443 open heb staan, is de kans klein dat ze daar mee beginnen mochten ze me scannen. En anders heb ik pech.

Ik heb een tijd geleden lang nagedacht of de extra kosten die IPS ondersteuning voor mij de meerprijs waard was. Met bovenstaande constructie is het antwoord voor mij: Nee

Goede strategie!
Op de Mikrotik had ik ook geen IPS (maar een SIEM er achter 😊) . Maar PfSense heeft dit als feature.

Overigens, een IPS draai je bij voorkeur op een LAN poort, niet de WAN poort. Het verkeer is dan door de firewall (wat er niet doorkomt interesseert mij niet, dat is alleen maar ruis) en wordt gecontroleerd op legitimiteit.
Vandaar de combi: pfblockerng op WAN, IPS op LAN (en dan bij voorkeur het server VLAN). Dan is de impact op de CPU minimaal. Het heeft niet zoveel zin om mijn pc, mobiel of iPad te controleren op rapid imap scans, want er draait geen server op met imap 😛. Het verkeer naar mijn servers is zo weinig, als het goed is, dat de CPU daar niet merkbaar tijd aan besteedt.

[ Voor 4% gewijzigd door Theone098 op 26-09-2021 17:59 ]

[nero355]

Theone098 schreef op zondag 26 september 2021 @ 17:27:
Een ssh bruteforce blocklist

Daar hebben we natuurlijk een hele simpele oplossing voor : Alleen SSH Keys gebruiken en eventueel nog dingen zoals Fail2Ban en zo

EDIT :

Theone098 schreef op zondag 26 september 2021 @ 18:47:
True. En natuurlijk geen ssh poort open op WAN maar even VPN’en.

SSH is opzich al een VPN maar Tunnel door een Tunnel heen kan ook natuurlijk

Maar ik weet dat je mijn vergelijking wel begrijpt ;-)

Uiteraard, maar just saying en zo...

[ Voor 42% gewijzigd door nero355 op 26-09-2021 18:52 ]

[Theone098]

nero355 schreef op zondag 26 september 2021 @ 18:39:
[...]

Daar hebben we natuurlijk een hele simpele oplossing voor : Alleen SSH Keys gebruiken en eventueel nog dingen zoals Fail2Ban en zo


EDIT :

[...]

SSH is opzich al een VPN maar Tunnel door een Tunnel heen kan ook natuurlijk


[...]

True. En natuurlijk geen ssh poort open op WAN maar even VPN’en.

Edit: True. En dan kan ook nog: poortnummer aanpassen, Port knocking gebruiken, bepaalde ip’s instellen waarvan ssh wordt toegestaan.

Maar ik weet dat je mijn vergelijking wel begrijpt @nero355 ;-).

Lachen, die edit op edit .

[ Voor 28% gewijzigd door Theone098 op 26-09-2021 19:01 ]

[Thralas]

Theone098 schreef op zondag 26 september 2021 @ 16:40:
De IPS blokkeert rapid imap scans naar mijn mailserver (wachtwoord guessing),

Als je het mij vraagt is dat vooral symptoombestrijding.

Aangenomen dat je de belangrijkste stappen al in acht hebt genomen (unieke, voldoende complexe wachtwoorden) dan is de kans dat je in een dictionary van een IMAP/SSH-whatever bruteforce staat verwaarloosbaar. De botnets die zulke scans doen gebruiken vaak beroerde dictionaries en hebben zoveel IPs dat het blokkeren van individuele adressen weinig toevoegt: proberen te raden doen ze toch wel.

Daarnaast: ik zou iedereen met klem aanraden om dat soort services die je thuis draait allemaal achter een VPN te stoppen - al was het enkel principieel indien er geen 2FA op zit.

voorkomt allerlei web attacks op mijn web server en de onderliggende database. Enzovoort.

Dan krijg je voornamelijk een IDS dat afgaat voor 'aanvallen' die helemaal niet relevant zijn voor de webapplicatie die je draait. Daarnaast is het niet geheel triviaal om dat op zo'n manier uit te rollen dat het meer dan 0 zin heeft als je - mag ik hopen - TLS gebruikt op je webservices.

Ook hier zou ik services niet publiek draaien als dat niet strikt noodzakelijk is, en als dat wel moet de tijd investeren in iets dat ervoor zorgt dat je geen security updates misloopt.

Maargoed, iedereen mag natuurlijk zelf weten wat 'ie aanzet. Ik denk alleen dat men ten onrechte waarde hecht aan een IDS dat eigenlijk niet zoveel (tot niets) toevoegt, maar wel een hoop CPU kost.

[nero355]

Thralas schreef op zondag 26 september 2021 @ 19:11:
Daarnaast: ik zou iedereen met klem aanraden om dat soort services die je thuis draait allemaal achter een VPN te stoppen - al was het enkel principieel indien er geen 2FA op zit.

Ik zou dan eerder iets in elkaar vogelen met een Reverse Proxy en TLS/SSL Keys die in je browser geïnstalleerd moeten staan om daar überhaupt op te kunnen komen als Webmail

Maar we kunnen dan vervolgens ook nog eens een discussie gaan voeren over hoe dom/slim het is om tegenwoordig nog zelf een E-Mail Server thuis te draaien, vanwege alles wat erbij komt kijken qua SPAM Blocklists en zo...

De mogelijkheden zijn eindeloos!

[Rayures]

nero355 schreef op zondag 26 september 2021 @ 22:31:
[...]

Ik zou dan eerder iets in elkaar vogelen met een Reverse Proxy en TLS/SSL Keys die in je browser geïnstalleerd moeten staan om daar überhaupt op te kunnen komen als Webmail

Maar we kunnen dan vervolgens ook nog eens een discussie gaan voeren over hoe dom/slim het is om tegenwoordig nog zelf een E-Mail Server thuis te draaien, vanwege alles wat erbij komt kijken qua SPAM Blocklists en zo...

De mogelijkheden zijn eindeloos!

/offtopic
mailserver opzettten, dns juist configureren, certificaat toevoegen etc is niet zo spannend. Lastige is idd dat bijna elke mailserver jouw thuis ip herkent als een dhcp adres (omdat er niet .static. in je ptr naar voren komt). Hiermee krijg je direct een -100 score in spamfilters en komt je mail in de spambox bij de ontvanger. Hoe goed al je andere maatregelen ook ingericht zijn (spf, dkim etc). Wat je kan doen is een externe smtp dienstverlener (met een goede reputatie) inzetten waar je uitgaande mail over routeert (wel in je spf toevoegen als allowed).
Maargoed, als je dat weet werkt het verder wel prima.

[Theone098]

En dat is wat ik zo ongeveer allemaal heb gedaan, m.u.v. VPN (heb ik wel maar niet voor e-mail). Anders moet ik op alle devices VPN installeren en aanzetten. Als je dat een beetje veilig doet (goede encryptie), kost dat veel batterij op een mobiel apparaat. Verder is de rest van het gezin niet tech savy, dat helpt ook niet.

Maar defense in depth is hier key. Ik heb meerdere maatregelen om risico’s af te dekken. Beroepsdeformatie.

Maar ieder z’n ding. Ik houd graag mijn e-mail privé en draai dus mijn eigen mailserver. En dat zonder problemen met spam.
En een IDS is een extra beveiligingsmaatregel. Op mijn pfsense boxje (yanling met een j-processor, 8GB ram) en mijn inrichting merk ik het niet eens. En het werkt/helpt.

Edit: ik heb op alle services MFA, zelfs als deze niet extern benaderbaar zijn, SSH met key login etc. Behalve op de mailserver, want dat ondersteunen veel clients niet.

Edit: t.a.v. De webserver. Ik doe aan TLS interceptie waarbij het verkeer van de reverse proxy opnieuw langs de firewall/IDS gaat, unencrypted. Zo kan ik alles lezen en dus filteren .

[ Voor 19% gewijzigd door Theone098 op 27-09-2021 12:23 ]

[A1AD]

Theone098 schreef op maandag 27 september 2021 @ 12:02:
En dat is wat ik zo ongeveer allemaal heb gedaan, m.u.v. VPN (heb ik wel maar niet voor e-mail). Anders moet ik op alle devices VPN installeren en aanzetten. Als je dat een beetje veilig doet (goede encryptie), kost dat veel batterij op een mobiel apparaat. Verder is de rest van het gezin niet tech savy, dat helpt ook niet.

Ik vind WireGuard heel goed meevallen, ik merk er eerlijk gezegd niets van.

[Harmen]

Gisteravond aantal zaken ingesteld op mn opnsense router.
-Openvpn, zodat ik vanaf extern kan inloggen
-Dynamic dns icm dynu.com
-Wake on lan voor mini pc waar ik af en toe op inlog

Vanmorgen deed dhcp het niet meer (leases verlopen), clients kregen geen ip adres meer. Na herstart via openvpn (4g) was alles weer up and running. Iemand dit vaker gezien? (system logs gaven weinig info)

Heb al een vermoeden, gisteren in unbound "Flush DNS cache during reload" aangezet. Teveel wijzigingen op een avond is niet goed.

[ Voor 15% gewijzigd door Harmen op 30-09-2021 08:52 ]

[Uberprutser]

dhcpd nokt er bij mij sinds 21.7 ook soms mee na een wijziging.
Handmatig starten is dan het enige wat werkt en niks te zien in de log.
Tip: Na wijzigingen aan dhcp en unbound even dubbel checken of ze nog draaien.

[Harmen]

Thanks, zal er ff op letten. Merkte dat Unbound gisteravond op een gegeven moment veel cpu resources verbruikte. Het is nu rustig gelukkig..... nog geen klachten gehoord van mn vriendin.

[Uberprutser]

Harmen schreef op donderdag 30 september 2021 @ 13:18:
Thanks, zal er ff op letten. Merkte dat Unbound gisteravond op een gegeven moment veel cpu resources verbruikte. Het is nu rustig gelukkig..... nog geen klachten gehoord van mn vriendin.

Dat is ook iets sinds de laatste versie. Soms knalt ie bij mij naar 70% terwijl alleen ik achter m'n scherm zit (homelab heeft eigen DNS servers).

[Harmen]

Hoog cpu/mem verbruikt schijnt een probleem te zijn lees ik op het opnsense forum. Er is ook weer een update uitgebracht, die zou dit verhelpen. Wacht de volgende keer wel ff met updaten.

Al met al ben ik zeer tevreden met opnsense!

[oltk]

Ik heb een oude (asus) router en verwacht toch dat in het komende jaar het ding gaat overlijden. In ieder geval is het (gebrek aan) firmware (ik draai Merlin) reden om te kijken naar een alternatief.

Na wikken en wegen kies ik voor OPNsense. Ik heb een Zotac Zbox met 4100 celeron en 2 realtec NIC's. Realtec is niet optimaal begrijp ik, maar ik heb Ziggo 350 down / 40 up en dat is ruim voldoende voor ons.

Om te experimenteren (en het huishouden niet te belasten, dit is ook geheel nieuw voor mij) heb ik OPNsense op een VM in proxmox gezet. NICS toegewezen als network device net0 en net1 als intel E1000. Ik had aanvankelijk de devices virtueel ingesteld, maar dat maakt voor het onderstaande verhaal geen verschil.

net0 is toegewezen aan het LAN en net1 is toegewezen aan het WAN. Ik prik de kabel van de net0 naar de switch. Ik zet m nog niet op het WAN op net1. Hij wordt dus gewoon nog als client benaderd.

In OPNsense volg ik de wizard, zet voorlopig het standaard DNS adres neer (cloudflare, dat wordt later mijn pihole), ik configureer dhcp op het LAN en op het WAN zet ik standaard DHCP op ip4 en ip6 aan,
Ik draai een update (en ik heb internet, de update wordt gedaan).

Nu de test: ik haal de Asus router van het modem af en zet net1 op het modem. Ik schakel ook de ASUs router van de switch af (had ik eerst vergeten). Nu is OPNsense on his own.
Ik herstart OPNsense VM voor de zekerheid. Hij komt op.
Maar op het WAN wordt een ip van 0.0.0.0/8 toegewezen. En er is (uiteraard) geen internet. Wel krijgen alle devices in huis een intern IP volgens de ARP.
Ik heb wat troubleshoots gevonden die zeggen dat ik Bogon netwerken en private netwerken moet toestaan op het WAN. nou vooruit. Ook herstarten. Maar geen ip lease.

Heeft iemand een gouden tip? Zoeken op dit forum leverde me niets op...

[silentkiller]

oltk schreef op vrijdag 1 oktober 2021 @ 12:22:
net0 is toegewezen aan het LAN en net1 is toegewezen aan het WAN. Ik prik de kabel van de net0 naar de switch. Ik zet m nog niet op het WAN op net1. Hij wordt dus gewoon nog als client benaderd.

In OPNsense volg ik de wizard, zet voorlopig het standaard DNS adres neer (cloudflare, dat wordt later mijn pihole), ik configureer dhcp op het LAN en op het WAN zet ik standaard DHCP op ip4 en ip6 aan,
Ik draai een update (en ik heb internet, de update wordt gedaan).

Nu de test: ik haal de Asus router van het modem af en zet net1 op het modem. Ik schakel ook de ASUs router van de switch af (had ik eerst vergeten).

Dit snap ik niet zo goed, je hebt hier een moment waarop OPNsense alsook je asus router beide met de LAN kant op de switch hangen. Volgens mij kan OPNsense geen DHCP client spelen op zijn LAN kant, vreemd.

oltk schreef op vrijdag 1 oktober 2021 @ 12:22:
Nu is OPNsense on his own.
Ik herstart OPNsense VM voor de zekerheid. Hij komt op.
Maar op het WAN wordt een ip van 0.0.0.0/8 toegewezen. En er is (uiteraard) geen internet. Wel krijgen alle devices in huis een intern IP volgens de ARP.
Ik heb wat troubleshoots gevonden die zeggen dat ik Bogon netwerken en private netwerken moet toestaan op het WAN. nou vooruit. Ook herstarten. Maar geen ip lease.

In deze situatie zit je idd enkel met OPNsense op je LAN, dat is iig goed. (vergeet niet je client(s) een nieuwe DHCP request te laten doen zodat ze als default gateway het IP van de OPNsense krijgen).

Waarom krijg je dan geen IP toegewezen in OPNsense op je WAN kant?
-Verwacht je modem een specifiek MAC adres van de router? (Je zou het MAC adres van de asus router eens kunnen spoofen in OPNsense)
-Verwacht je ISP dat je verbinding maakt via een bepaalde VLAN?
-Verwacht je ISP bv PPPoE ipv DHCP?

Buiten het eerste punt, denk ik dat je best eens de WAN settings nakijkt in de asus router en deze zo goed mogelijk overneemt in OPNsense

[oltk]

silentkiller schreef op vrijdag 1 oktober 2021 @ 13:01:
[...]

Dit snap ik niet zo goed, je hebt hier een moment waarop OPNsense alsook je asus router beide met de LAN kant op de switch hangen. Volgens mij kan OPNsense geen DHCP client spelen op zijn LAN kant, vreemd.

Nee, inderdaad gaat dat niet lekker. Er worden apparaten aan OPNsense gehangen en apparaten aan de ASUS router. En soms een apparaat 2x (en ook internet). gek ja.,

In deze situatie zit je idd enkel met OPNsense op je LAN, dat is iig goed. (vergeet niet je client(s) een nieuwe DHCP request te laten doen zodat ze als default gateway het IP van de OPNsense krijgen).

Waarom krijg je dan geen IP toegewezen in OPNsense op je WAN kant?
-Verwacht je modem een specifiek MAC adres van de router? (Je zou het MAC adres van de asus router eens kunnen spoofen in OPNsense)

Dat had ik geprobeerd (forceer je mac adres, use with care). Dat helpt niet

-Verwacht je ISP dat je verbinding maakt via een bepaalde VLAN?

geen idee? Wie weet? Misschien kan ik dat opzoeken in mijn Asus router, dat die standaard een vlan gebruikt bij connectie naar Ziggo?

-Verwacht je ISP bv PPPoE ipv DHCP?

Ik lees dat ze al jaren geen PPPoE gebruiken sinds EuroDOCSIS.

Buiten het eerste punt, denk ik dat je best eens de WAN settings nakijkt in de asus router en deze zo goed mogelijk overneemt in OPNsense

Goede tip! Ik ga eens pluizen. Ik koppel het wel terug. Alleen is de vrouw nu weer achter de computer, dus even wachten op een moment dat niemand in huis is

[silentkiller]

Niet zo bekend met ziggo (ben van België) maar:
Je hebt je ziggo modem al in bridge modus staan veronderstel ik? Gezien de asus ook al achter de ziggo modem stond..
In dat geval: de kabel die van de modem naar je OPNsense loopt, die vertrekt toch vanuit poort 1 he? Andere poorten werken niet meer zoals ik kan terugvinden.

Herstart ook eens je ziggo modem als je de OPNsense erachter hangt ipv de asus en je geen IP krijgt via poort 1

[Harmen]

@oltk Als de Ziggo modem in bridge staat zou deze het extern ip adres door moeten geven. Heb wel gemerkt dat je eerst de modem moet uitzetten voordat je een nieuwe router aansluit. Heb hier al meerdere routers gebruikt de laatste jaren. (Tplink wifi met Openwrt, Sophos XG (esx), Edgerouter X en nu een Sophos SG115 met opnsense) Allen stonden gewoon op dhcp.

[oltk]

Harmen schreef op vrijdag 1 oktober 2021 @ 14:29:
@oltk Als de Ziggo modem in bridge staat zou deze het extern ip adres door moeten geven. Heb wel gemerkt dat je eerst de modem moet uitzetten voordat je een nieuwe router aansluit. Heb hier al meerdere routers gebruikt de laatste jaren. (Tplink wifi met Openwrt, Sophos XG (esx), Edgerouter X en nu een Sophos SG115 met opnsense) Allen stonden gewoon op dhcp.

@silentkiller en @Harmen Ik ga proberen het modem uit / aan te zetten Ik hoop dat het werkt!
Ik moet wel even goed kijken naar de instellingen (ik heb veel geknusteld met de hoop het gouden ei te vinden) en even de instellingen van mijn Asus modum doorlopen

Dank tot zover!

[Theone098]

Overigens is er een update voor Suricata (PFsense) voor de mensen die het wel gebruiken. Bij mij lost deze het probleem op dat suricata na update crashed en niet wil herstarten.

[oltk]

Ok. Kinderen en vrouw waren weg dus even de modem gereset
En ik kreeg een IP adres toegewezen van het WAN!! Yeaahh.

Alleen: nu heb ik geen internet. Ik kan wel pingen naar google.com etc vanuit de hulptools van OPNsense. Maar hij geeft het internetsignaal niet door naar de clients
Ik zie in de ARP table wel degelijk alle clients. Ik heb de gateway gezet (op 192.168.0.2) en de DNS gateway eerst op mijn pihole (adres klopte!) en daarna geprobeerd op 8.8.8.8

nix. Ik heb de firewall van de proxmox niet aanstaan. Ik vergeet iets. Maar wat?



in system/settings/general kan ik ook een DNS instellen. Daar vul ik maar hetzelfde in (ook 8.8.8.8). Maar ik begrijp deze optie niet

[ Voor 30% gewijzigd door oltk op 02-10-2021 16:14 ]

[Theone098]

Ik heb de hele thread niet gevolgd maar is de gateway niet 192.168.0.1?
Via proxmox lees ik. Geen ervaring mee.

[ Voor 25% gewijzigd door Theone098 op 02-10-2021 16:41 ]

[Dacuuu]

Uberprutser schreef op vrijdag 24 september 2021 @ 21:55:
[...]

Ik hoop dat ie het doet icm je hardware; Dell heeft een aangepaste firmware op die kaarten en niet elke combinatie komt door de POST heen daarmee.

Ik heb net eindelijk tijd gehad het kaartje even snel in een windows 10 bak te duwen. Pc boot meteen normaal op naar windows. Staat bij apparaten beheer direct goed bij. Ik neem aan dat het straks voor opnsense geen probleem moet zijn om te booten met deze kaart.

[oltk]

Theone098 schreef op zaterdag 2 oktober 2021 @ 16:36:
Ik heb de hele thread niet gevolgd maar is de gateway niet 192.168.0.1?

Zou dat uitmaken?? Ik heb het ipadres van de gateway hard op 192.168.0.2 gezet, en verwijs hier ook naar in de DHCP toewijzing.

Ik kan het wel proberen op .1 (maar ja, vrouwlief is weer thuis , dat wordt weer een ander moment. En ik moet het modem 2x herstarten: een keer voor OPNsense en 1x om weer terug te kunnen naar de Asus. En het opstarten van het Ziggo modem duurt bijna 5 minuten )

edit: ik heb proxmox op een heel ander adres staan. Dat maakt niet uit. Ik kan van OPNsense net zo goed .1 maken, alleen kan ik dan niet met mijn ASUS op het internet en tegelijk met de OPNsense configuratie pielen (want hetzelfde adres). En de ASUS wijzig ik het liefst zo min mogelijk: want productie.

[ Voor 20% gewijzigd door oltk op 02-10-2021 16:43 ]

[Theone098]

oltk schreef op zaterdag 2 oktober 2021 @ 16:41:
[...]


Zou dat uitmaken?? Ik heb het ipadres van de gateway hard op 192.168.0.2 gezet, en verwijs hier ook naar in de DHCP toewijzing.

Ik kan het wel proberen op .1 (maar ja, vrouwlief is weer thuis , dat wordt weer een ander moment. En ik moet het modem 2x herstarten: een keer voor OPNsense en 1x om weer terug te kunnen naar de Asus. En het opstarten van het Ziggo modem duurt bijna 5 minuten )

Eeh, dat weet ik niet. Je zou verwachten dat, als je het ip adres van de gateway zelf op .2 hebt gezet, dat zou moeten werken?
Maar waarom niet op .1? Tenzij je aan netmasking doet, is de default gateway meestal .1 of .254.
Maar goed, ik heb de hele thread niet gelezen dus mijn tips moet je maar negeren.

[nero355]

oltk schreef op zaterdag 2 oktober 2021 @ 16:41:
Zou dat uitmaken?? Ik heb het ipadres van de gateway hard op 192.168.0.2 gezet, en verwijs hier ook naar in de DHCP toewijzing.

Theone098 schreef op zaterdag 2 oktober 2021 @ 16:46:
Eeh, dat weet ik niet. Je zou verwachten dat, als je het ip adres van de gateway zelf op .2 hebt gezet, dat zou moeten werken?
Maar waarom niet op .1? Tenzij je aan netmasking doet, is de default gateway meestal .1 of .254.

Ik heb hier een Gateway op 10.0.0.138 omdat ik dat zo ooit heb gekregen van KPN en zodoende dus door de tijd heen meegegroeid is met mijn netwerk!

Kortom : Welk IP je gebruikt boeit niet

Wat wel boeit : Of je de hele meuk goed hebt opgezet!

Dus effe terug naar het begin =>

oltk schreef op vrijdag 1 oktober 2021 @ 12:22:
Na wikken en wegen kies ik voor OPNsense. Ik heb een Zotac Zbox met 4100 celeron en 2 realtec NIC's.

Om te experimenteren (en het huishouden niet te belasten, dit is ook geheel nieuw voor mij) heb ik OPNsense op een VM in proxmox gezet. NICS toegewezen als network device net0 en net1 als intel E1000. Ik had aanvankelijk de devices virtueel ingesteld, maar dat maakt voor het onderstaande verhaal geen verschil.

Zijn net0 en net1 ook Bridged met RealTek NIC #1 en NIC #2

net0 is toegewezen aan het LAN en net1 is toegewezen aan het WAN. Ik prik de kabel van de net0 naar de switch. Ik zet m nog niet op het WAN op net1. Hij wordt dus gewoon nog als client benaderd.

Klinkt logisch tot dusver

In OPNsense volg ik de wizard, zet voorlopig het standaard DNS adres neer (cloudflare, dat wordt later mijn pihole), ik configureer dhcp op het LAN en op het WAN zet ik standaard DHCP op ip4 en ip6 aan,
Ik draai een update (en ik heb internet, de update wordt gedaan).

Dus het heeft gewerkt

oltk schreef op zaterdag 2 oktober 2021 @ 15:59:
Even de modem gereset
En ik kreeg een IP adres toegewezen van het WAN!! Yeaahh.

Ik heb de firewall van de proxmox niet aanstaan. Ik vergeet iets. Maar wat?

[Afbeelding]

Ik zie daar een DHCP IP Pool Start Address maar geen Pool End Address

Maar je krijgt dus wel een IP ?!

Check eens welke Settings je via DHCP krijgt ?

in system/settings/general kan ik ook een DNS instellen. Daar vul ik maar hetzelfde in (ook 8.8.8.8). Maar ik begrijp deze optie niet

Dat lijkt me de DNS Resolving voor het systeem zelf : Heeft bijvoorbeeld een EdgeRouter ook als Setting

[Theone098]

nero355 schreef op zaterdag 2 oktober 2021 @ 18:39:
[...]


[...]

Ik heb hier een Gateway op 10.0.0.138 omdat ik dat zo ooit heb gekregen van KPN en zodoende dus door de tijd heen meegegroeid is met mijn netwerk!

Kortom : Welk IP je gebruikt boeit niet

Wat wel boeit : Of je de hele meuk goed hebt opgezet!

Tjonge, in al die tijd nooit aangepast?



Moet iedereen lekker zelf weten maar als er niets op .1 zit of .254 zijn dat de logische adressen (tenzij je geen /24 gebruikt).

Zie mijn aanname, ik ging toch mooi de fout in (en vandaar het voorbehoud van mij) .

[oltk]

Zijn net0 en net1 ook Bridged met RealTek NIC #1 en NIC #2

Yep!

Dus het heeft gewerkt

Sterker nog: vanaf de OPNsense interface zelf heb ik internet. Maar niet op de clients. Misschien moet ik een client even uitzetten en dan aan om een nieuwe lease te krijgen?

Check eens welke Settings je via DHCP krijgt ?

Zodra de vrouw en kinders weer uit huis zijn ga ik opnieuw een DHCP lease vragen aan het modem, en zal ik een screenshot maken!

Dat lijkt me de DNS Resolving voor het systeem zelf : Heeft bijvoorbeeld een EdgeRouter ook als Setting

Dat zal het zijn. Vandaar ook dat unbound als service kan draaien..

[Uberprutser]

Dacuuu schreef op zaterdag 2 oktober 2021 @ 16:39:
[...]


Ik heb net eindelijk tijd gehad het kaartje even snel in een windows 10 bak te duwen. Pc boot meteen normaal op naar windows. Staat bij apparaten beheer direct goed bij. Ik neem aan dat het straks voor opnsense geen probleem moet zijn om te booten met deze kaart.

Als dat allemaal werkt moet het geen probleem zijn.
Je kan voor de gein kijken welke firmware de kaart heeft (even bij Dell de tool downloaden) en kijken of die een beetje up to date is.

[nero355]

Theone098 schreef op zaterdag 2 oktober 2021 @ 18:55:
Tjonge, in al die tijd nooit aangepast?

Tja, iets met luiheid en zo... 20 jaar lang...

Ik heb nu niet eens KPN maar toch heb ik het zo laten zitten, want Printers en andere meuk en zo...

oltk schreef op zaterdag 2 oktober 2021 @ 19:41:
Sterker nog: vanaf de OPNsense interface zelf heb ik internet. Maar niet op de clients.

Misschien moet ik een client even uitzetten en dan aan om een nieuwe lease te krijgen?

Stupid question :

Staat je NAT wel aan voor dat subnet

Ga eens wat pingen en tracerouten en zo

[oltk]

Staat je NAT wel aan voor dat subnet

Dank voor de denkrichting. Ik ben me nu aan het verdiepen hierin.
Ik zie dat de outbound NAT automatisch staat. Mijn oude ASUS heeft ook NAT aan staan. Maar dat heet gewoon NAT. De enige optie die ik vind is onder firewall / NAT. En dat gaat over "outbound NAT".


Met LAN rules:

WAN en Loopback hebben geen rules.

Wat ook zou kunnen is dat de DNS settings niet lekker staan. Er zijn ook nogal wat opties met summiere info. Ik volgde wat tutorials die er weinig woorden aan vuil maken. Check de box en you'll be fine.


De laatste check (do not use local DNS) heb ik aangevinkt omdat ik juist van een externe DNS gebruik wil maken, en niet de lokale unbound service. Of snap ik het dan niet

[ Voor 5% gewijzigd door oltk op 03-10-2021 18:37 ]

[oltk]

Ok. gelukt.

Ik heb heel veel gekl**t in OPNsense. Maar het bleek dat ik in Proxmox ook de gateway ooit had ingevoerd. De oude (ASUS) gateway is 192.168.0.1 en OPNsense is 192.168.0.2 (om ze naast elkaar te kunnen gebruiken voor experimenten).

Na veranderen van het IP adres op OPNsense naar .1 had ik meteen internet.
Dank voor het meedenken, en uiteindelijk was de opmerking of de gateway wel op het juiste IP adres stond de juiste

[ Voor 5% gewijzigd door oltk op 04-10-2021 12:21 ]

[Uberprutser]

oltk schreef op maandag 4 oktober 2021 @ 12:12:
Ok. gelukt.

En dan noemen ze mij een prutser ...

Mijn beide OPNsense dozen waren ermee gestopt, geen idee waarom, kan niks terug vinden in de log.
Slechts "homelab II" dus niet heel dramatisch maar sinds 21.7 wel allemaal rare dingetjes die opvallen.

Unbound, DHCPd en ix drivers/NICs had ik al op mijn lijstje en nu ook nog een halt van beide fysieke OPNsense dozen. Ik hoop dat er snel verbetering komt in (mijn ervaring met) OPNsense.

[oltk]

Uberprutser schreef op dinsdag 5 oktober 2021 @ 11:24:
[...]

En dan noemen ze mij een prutser ...

Ik ben welwillend amateur, en onbewust onbekwaam Maar al lerende wordt ik bekwamer

Mijn beide OPNsense dozen waren ermee gestopt, geen idee waarom, kan niks terug vinden in de log.
Slechts "homelab II" dus niet heel dramatisch maar sinds 21.7 wel allemaal rare dingetjes die opvallen.

Unbound, DHCPd en ix drivers/NICs had ik al op mijn lijstje en nu ook nog een halt van beide fysieke OPNsense dozen. Ik hoop dat er snel verbetering komt in (mijn ervaring met) OPNsense.

Voorlopig is het leren van netwerkinstellingen en wat ze betekenen al een hele steile heuvel om te beklimmen. Zojuist suricata IDS aangezet (omdat het kan). Geen idee of het wat oplevert. Ik kwam er wel na enkele dagen achter dat ik ook rules moet aanzetten (te downloaden gelukkig, waarbij weer de volgende existentiële vraag zich aandient: wat zijn dat allemaal voor rulesets en wat doen ze). Maar het draait nu en ik kijk wel of dit iets oplevert in de logfiles.

Ik zag al in de logfiles van de firewall dat 32% geblockt wordt. En een groot deel chinese en russische IP adressen. heftig. Alleen al de logging vind ik mooi

Mijn doel van dit experiment is ervan te leren en niet koudweg een consumenten router neerzetten van 250 euro (buy and forget) maar meer te snappen wat er gebeurd. Ik had ook een edgerouter-x kunnen kopen van Ubiquiti natuurlijk. Maar ja, dit is leuker.

[Dacuuu]

Vraagje, ik ben mijn Opnsense bak in elkaar aan het bouwen, maar nu zit mijn cpu fan in de weg voor het pci 16x slot, nu heb ik de Intel Ethernet Server Adapter I350-T4 in slot3, de 4x pci gestopt. Is dit echt een no-go, of ga ik hier totaal niks van merken?

[Ankh]

Dacuuu schreef op dinsdag 5 oktober 2021 @ 21:41:
Vraagje, ik ben mijn Opnsense bak in elkaar aan het bouwen, maar nu zit mijn cpu fan in de weg voor het pci 16x slot, nu heb ik de Intel Ethernet Server Adapter I350-T4 in slot3, de 4x pci gestopt. Is dit echt een no-go, of ga ik hier totaal niks van merken?
[Afbeelding]

Ligt eraan of de kaart PCI-e 4x is of hoger ;-)

[Dacuuu]

Ankh schreef op dinsdag 5 oktober 2021 @ 22:03:
[...]

Ligt eraan of de kaart PCI-e 4x is of hoger ;-)

Stupid me. specs zeggen 4x. Geluk dus!

[Kek]

Dacuuu schreef op dinsdag 5 oktober 2021 @ 22:29:
[...]


Stupid me. specs zeggen 4x. Geluk dus!

los van dat, je kan ook uitrekenen wat de maximale transfer is die je kan verstoken met de eth poorten, en dan kijken of de pcie poorten die je daarvoor wil gebruiken dat aan kunnen...

[Uberprutser]

Dacuuu schreef op dinsdag 5 oktober 2021 @ 21:41:
Vraagje, ik ben mijn Opnsense bak in elkaar aan het bouwen, maar nu zit mijn cpu fan in de weg voor het pci 16x slot, nu heb ik de Intel Ethernet Server Adapter I350-T4 in slot3, de 4x pci gestopt. Is dit echt een no-go, of ga ik hier totaal niks van merken?
[Afbeelding]

Het is een PCIe v2.1 x4 kaart en dat is voldoende bandbreedte voor normaal gebruik.

In totaal kan de kaart 8Gbit verwerken, want 4Gbit up/down full duplex maar 2Gbit is de max van een PCIe v2.1 x4 slot EN de chipset zelf. Alleen als je alle 4 de interfaces continue vol pompt KAN je het merken maar ik denk dat het wel mee valt in jouw use case.

edit: Ook erachter wat de halt veroorzaakt heeft in mijn OPNsense dozen; mlx5en driver + firmware icm FreeBSD 12.1 en jumbo frames. Firmware van NICs geupdate en zou nu opgelost moeten zijn.

[ Voor 13% gewijzigd door Uberprutser op 06-10-2021 10:17 ]

[Theone098]

oltk schreef op maandag 4 oktober 2021 @ 12:12:
Ok. gelukt.

Ik heb heel veel gekl**t in OPNsense. Maar het bleek dat ik in Proxmox ook de gateway ooit had ingevoerd. De oude (ASUS) gateway is 192.168.0.1 en OPNsense is 192.168.0.2 (om ze naast elkaar te kunnen gebruiken voor experimenten).

Na veranderen van het IP adres op OPNsense naar .1 had ik meteen internet.
Dank voor het meedenken, en uiteindelijk was de opmerking of de gateway wel op het juiste IP adres stond de juiste

@nero355

Ook al lijkt het onlogisch, soms is het toch logisch (vrij naar J. Cruijff )

[nero355]

Theone098 schreef op woensdag 6 oktober 2021 @ 17:16:
@nero355

Ook al lijkt het onlogisch, soms is het toch logisch (vrij naar J. Cruijff )

Tja, zoals ik al zei :

nero355 schreef op zaterdag 2 oktober 2021 @ 18:39:
Kortom : Welk IP je gebruikt boeit niet

Wat wel boeit : Of je de hele meuk goed hebt opgezet!

[Dacuuu]

Een deze dagen toch maar is mijn opnsense bakje wat hier klaar staat opstarten.

Beetje lastig moment kiezen met een thuiswerkende vrouw en kinderen..

Ja ik ga er zelf veel uren in stoppen en Googelen. Maar zijn er nog beginners dingetjes waar ik echt op moet letten? Zoals dat bijvoorbeeld standaard alle poorten wagenwijd openstaan ofzoiets? Ik geef zomaar een voorbeeldje..

Ik wil beginnen met de utp kabel vanaf de tmobile glas media converter in de opnsense bak te duwen (Intel i350-t4) en dan in te stellen als vlan 300.

[Harmen]

Zou beginnen met een basic installatie. Zorg eerst dat dat lekker draait. Heb zelf de fout gemaakt om gelijk alle packages te proberen. Vond m'n low-end Sophos SG115 niet zo leuk.
Had 1 van de eerste dagen wat issues dat unbound op z'n gat ging, niet leuk als de kids je dan gaan wakker maken omdat internet het niet doet.

Vanmorgen maar eens Unound adblock uitgezet en Sensei geinstalleerd en een kans gegeven, moet zeggen dat het best mooi werkt icm adblocking. Mooie inzichtelijk ook, kan via de cloud management de filter tijdelijk bypassen. Dat miste ik bij unbound.
Draait verder prima op een dual core (Atom E3827) met 4GB memory, average load 0.6-1, geheugen gebruik 1,5GB.
Hier staat een leuke link voor meer info: https://homenetworkguy.co...ensei-feature-comparison/

[ Voor 10% gewijzigd door Harmen op 08-10-2021 16:02 ]

[stormfly]

Just checking, pfSense plus 21.09 is nog niet vrijgegeven toch? De releasenotes zien er goed uit.

https://docs.netgate.com/...atest/releases/21-09.html

[wian]

Geen grote nieuwe features, vooral bugfixes toch? Of zie ik iets over het hoofd? Ik krijg hem hier nog niet binnen iig.

Had gehoopt op officiële WireGuard ondersteuning. Het community package werkt goed, maar wireguard zou eigenlijk geïntegreerd moeten zijn zoals OpenVPN en AWS.

[Tom Paris]

wian schreef op donderdag 14 oktober 2021 @ 08:43:
Had gehoopt op officiële WireGuard ondersteuning. Het community package werkt goed, maar wireguard zou eigenlijk geïntegreerd moeten zijn zoals OpenVPN en AWS.

Het is geen community-package, de maintainer (Christian McDonald) werkt bij Netgate (het bedrijf achter pfSense).

Voordeel van een package is dat het veel makkelijker is om snel te updaten, ipv een nieuwe release van het hele OS te moeten vrijgeven... Zeker met Wireguard waar de ontwikkelingen nog steeds vrij snel gaan.

[ Voor 7% gewijzigd door Tom Paris op 14-10-2021 12:27 ]

[wian]

In de initiële release van pfSense Plus zat wireguard ingebakken, niet als package. Wireguard heeft Netgate uit plus verwijderd met de boodschap dat er kwaliteitsproblemen waren en toen is dit package er gekomen, ik dacht vanuit de community omdat het eerst in pfSense CE beschikbaar was, maar blijkbaar werkt de maintainer nu bij Netgate.

Package is natuurlijk flexibeler maar wireguard zelf is een kernel module. Dus erg belangrijk dat dit direct door Netgate ondersteund wordt.

[Tom Paris]

wian schreef op donderdag 14 oktober 2021 @ 19:36:
In de initiële release van pfSense Plus zat wireguard ingebakken, niet als package. Wireguard heeft Netgate uit plus verwijderd met de boodschap dat er kwaliteitsproblemen waren en toen is dit package er gekomen, ik dacht vanuit de community omdat het eerst in pfSense CE beschikbaar was, maar blijkbaar werkt de maintainer nu bij Netgate.

Package is natuurlijk flexibeler maar wireguard zelf is een kernel module. Dus erg belangrijk dat dit direct door Netgate ondersteund wordt.

De initiële maintainer van Wireguard voor FreeBSD heeft significante kwetsbaarheden geïntroduceerd in de code base, waardoor de maintainers van FreeBSD weigerden het in de release van 13 op te nemen. Jason A. Donenfeld, de man achter Wireguard, heeft toen de code base opgeschoond en in lijn met de Linux code base gebracht. Dat was te laat voor de release van FreeBSD 13, maar dit werk is over genomen door Netgate in het huidige package. Wellicht dat FreeBSD 14 dit wel direct als kernel code overneemt en daarmee ook 'native' in pfSense terecht komt.

[Ankh]

Aangezien de odroid h2+ niet meer leverbaar is, ben ik opzoek naar alternatief moederboardje om pfsense/opnsense te testen met mijn glasvezel verbinding… ik heb een zakelijk dualstack verbinding en ik krijg het niet voor elkaar om het werkend te krijgen met een edgerouter (met openwrt). Heb weinig zin om 300 euro uitgeven en daarna dat het blijkt dat het helemaal niet werkt..
Hier nog iemand die een goedkope oplossing weet?

[stormfly]

Ankh schreef op zaterdag 16 oktober 2021 @ 07:52:
Aangezien de odroid h2+ niet meer leverbaar is, ben ik opzoek naar alternatief moederboardje om pfsense/opnsense te testen met mijn glasvezel verbinding… ik heb een zakelijk dualstack verbinding en ik krijg het niet voor elkaar om het werkend te krijgen met een edgerouter (met openwrt). Heb weinig zin om 300 euro uitgeven en daarna dat het blijkt dat het helemaal niet werkt..
Hier nog iemand die een goedkope oplossing weet?

Waarom geen start met edgerouter native?

[Miki]

stormfly schreef op zaterdag 16 oktober 2021 @ 08:33:
[...]


Waarom geen start met edgerouter native?

Waarbij het nog makkelijker kan met deze kant en klare scripts voor KPN aansluitingen die geschikt zijn voor dual stack. Mocht je een andere provider hebben dan kun je de basis als nog prima gebruiken.

https://forum.kpn.com/thu...p-v-de-experia-box-458609

[Ankh]

stormfly schreef op zaterdag 16 oktober 2021 @ 08:33:
[...]


Waarom geen start met edgerouter native?

Daar ben ik mee begonnen, maar wilde niet werken. M'n ipv4 verbinding is wel netjes online, maar mijn ipv6 verbinding komt niet online.

Miki schreef op zaterdag 16 oktober 2021 @ 08:39:
[...]

Waarbij het nog makkelijker kan met deze kant en klare scripts voor KPN aansluitingen die geschikt zijn voor dual stack. Mocht je een andere provider hebben dan kun je de basis als nog prima gebruiken.

https://forum.kpn.com/thu...p-v-de-experia-box-458609

Ik heb alle scripts geprobeerd, zelf geconfigureerd maar de ipv6 komt niet online. Als ik een zakelijke oplossing (Draytek / FortiGate) gebruik, dan werkt het out-of-the box. Aangezien EdgeOS en OpenWRT weinig mogelijkheid hebben tot debug functionaliteiten, had ik het idee om een pfsense / opnsense oplossing te gebruiken en daarna na te gaan wat er aan de hand is.

[Miki]

Ankh schreef op zaterdag 16 oktober 2021 @ 09:50:
[...]

Daar ben ik mee begonnen, maar wilde niet werken. M'n ipv4 verbinding is wel netjes online, maar mijn ipv6 verbinding komt niet online.

[...]

Ik heb alle scripts geprobeerd, zelf geconfigureerd maar de ipv6 komt niet online. Als ik een zakelijke oplossing (Draytek / FortiGate) gebruik, dan werkt het out-of-the box. Aangezien EdgeOS en OpenWRT weinig mogelijkheid hebben tot debug functionaliteiten, had ik het idee om een pfsense / opnsense oplossing te gebruiken en daarna na te gaan wat er aan de hand is.

Heb je toevallig de media converter bij een modem/OS wissel al eens van het stroom gehaald? Bij mij werkt het script prima en eventueel zou je ook handmatig de instellingen kunnen invoeren.

[Ankh]

Miki schreef op zaterdag 16 oktober 2021 @ 11:42:
[...]

Heb je toevallig de media converter bij een modem/OS wissel al eens van het stroom gehaald? Bij mij werkt het script prima en eventueel zou je ook handmatig de instellingen kunnen invoeren.

Yupz, heb vanuit de leverancier zelfs een nieuwe NTU gehad. Had nog een oud model blijkbaar. Het nadeel is dat het een KPN FTTH verbinding is, waar een zakelijk dienstverlener zijn dienst op levert. Dus ik heb geen vlan6, maar vlan 32 bijvoorbeeld.

[stormfly]

Ankh schreef op zaterdag 16 oktober 2021 @ 09:50:
[...]

Daar ben ik mee begonnen, maar wilde niet werken. M'n ipv4 verbinding is wel netjes online, maar mijn ipv6 verbinding komt niet online.

[...]

Ik heb alle scripts geprobeerd, zelf geconfigureerd maar de ipv6 komt niet online. Als ik een zakelijke oplossing (Draytek / FortiGate) gebruik, dan werkt het out-of-the box. Aangezien EdgeOS en OpenWRT weinig mogelijkheid hebben tot debug functionaliteiten, had ik het idee om een pfsense / opnsense oplossing te gebruiken en daarna na te gaan wat er aan de hand is.

Ik heb toevallig gisteren via KPN IPv6 aangezet op mijn pfSense router. Dat viel niet mee omdat er voor PPP weinig tot geen goede logs of foutemeldingen zijn.

Welke ISP heb je? Met een normale ER moet dat gewoon technisch kunnen functioneren.

[Ankh]

stormfly schreef op zaterdag 16 oktober 2021 @ 13:41:
[...]


Ik heb toevallig gisteren via KPN IPv6 aangezet op mijn pfSense router. Dat viel niet mee omdat er voor PPP weinig tot geen goede logs of foutemeldingen zijn.

Welke ISP heb je? Met een normale ER moet dat gewoon technisch kunnen functioneren.

Nou dat merk ik ook, het rare is dat de draytek out of the box werkt. Via syslog naar een NAS heb ik het volgende kunnen achterhalen:

code:

[DHCPv6s] Send reply to FE80::8F71:171:AEB9:E4CE on LAN1
[DHCPv6] Requested option: opt_83
[DHCPv6] Requested option: opt_82
[DHCPv6] Requested option: client FQDN
[DHCPv6] Requested option: information refresh time
[DHCPv6] Requested option: domain search list
[DHCPv6] Requested option: DNS
[DHCPv6] Elapsed time: 0
[DHCPv6] Client DUID: 00:01:00:01:26:d1:11:53:b8:27:eb:cf:42:9f
[DHCPv6s] Received information request from FE80::8F71:171:AEB9:E4CE on LAN1
[IPv6] IPv6 WAN1 UP!!!
[IPv6] IPv6 WAN1 up (RA)!
[IPv6] WAN1, Type(PPP), Rx EVENT = EVT_RA_ACTIVE
WAN1 PPPoE ==> Protocol:LCP(c021) EchoRep Identifier:0x02 Magic Number: 0x0 00 00 00 00 00 00 ##
WAN1 PPPoE <== Protocol:LCP(c021) EchoReq Identifier:0x02 Magic Number: 0x7382 36 05 00 00 00 00 ##
[IPv6] Get prefix <ipv6>::/56 from WAN1
[IPv6](RA)Generate WAN0 IP=<ipv6> (from PPP IPv6CP)
[IPv6] IPv6 event timeout (DHCPv6, 15 sec)!
[IPv6] WAN1, Type(PPP), Rx EVENT = EVT_TIME_OUT
[DHCPv6c] Send solicit to FF02::1:2 on WAN1
WAN1 PPPoE ==> Protocol:LCP(c021) EchoRep Identifier:0x01 Magic Number: 0x0 00 00 00 00 00 00 ##
WAN1 PPPoE <== Protocol:LCP(c021) EchoReq Identifier:0x01 Magic Number: 0x7382 36 05 00 00 00 00 ##
[DHCPv6c] Send solicit to FF02::1:2 on WAN1
[DHCPv6c] Send solicit to FF02::1:2 on WAN1
[DHCPv6c] Send solicit to FF02::1:2 on WAN1
WAN 1 is up.
IPCP Opening (PPPoE); Own IP Address : <ipv4>  Peer IP Address : <ipv4>; Primary DNS : 1.1.1.1  Secondary DNS : 8.8.8.8
[IPv6] WAN1, Type(PPP), Rx EVENT = EVT_PFX_DELEGATE_ACTIVE
[IPv6] WAN1 IPv6 PPP Open

Maar zowel op EdgeOS als OpenWRT weinig informatie, uit eindelijk wel een soort van logging aan kunnen zetten voor het dhcpv6 script (bij OpenWRT):

code:

Sat Oct 16 14:13:46 2021 user.notice dhcpv6.script: pppoe-wan ra-updated RA_ADDRESSES= RA_REACHABLE=0 CER= PASSTHRU= SERVER= SHLVL=1 HOME=/ RA_MTU=1500 RA_ROUTES=::/0,fe80::86b8:2ff:fe1e:c000,1800,512 NTP_FQDN= RA_DOMAINS= DOMAINS= AFTR= TERM=linux SIP_IP= PATH=/usr/sbin:/usr/bin:/sbin:/bin NTP_IP= RA_HOPLIMIT=64 FAKE_ROUTES=1 RA_DNS= RDNSS= SNTP_IP= RA_RETRANSMIT=0 INTERFACE=wan6 SIP_DOMAIN= PWD=/lib/netifd/proto

Het betreft NG Networks, maar zij kopen het ook weer via een partij (weet niet welke partij). Heb bij hun ook al een ticket aangemaakt, maar zij kunnen niets raars vinden. (En aangezien het met een Draytek en FortiGate wel werkt, waarom zou het dan iet met een ander type werken)..

[stormfly]

Ankh schreef op zaterdag 16 oktober 2021 @ 14:37:
[...]

Nou dat merk ik ook, het rare is dat de draytek out of the box werkt. Via syslog naar een NAS heb ik het volgende kunnen achterhalen:

code:

[DHCPv6s] Send reply to FE80::8F71:171:AEB9:E4CE on LAN1
[DHCPv6] Requested option: opt_83
[DHCPv6] Requested option: opt_82
[DHCPv6] Requested option: client FQDN
[DHCPv6] Requested option: information refresh time
[DHCPv6] Requested option: domain search list
[DHCPv6] Requested option: DNS
[DHCPv6] Elapsed time: 0
[DHCPv6] Client DUID: 00:01:00:01:26:d1:11:53:b8:27:eb:cf:42:9f
[DHCPv6s] Received information request from FE80::8F71:171:AEB9:E4CE on LAN1
[IPv6] IPv6 WAN1 UP!!!
[IPv6] IPv6 WAN1 up (RA)!
[IPv6] WAN1, Type(PPP), Rx EVENT = EVT_RA_ACTIVE
WAN1 PPPoE ==> Protocol:LCP(c021) EchoRep Identifier:0x02 Magic Number: 0x0 00 00 00 00 00 00 ##
WAN1 PPPoE <== Protocol:LCP(c021) EchoReq Identifier:0x02 Magic Number: 0x7382 36 05 00 00 00 00 ##
[IPv6] Get prefix <ipv6>::/56 from WAN1
[IPv6](RA)Generate WAN0 IP=<ipv6> (from PPP IPv6CP)
[IPv6] IPv6 event timeout (DHCPv6, 15 sec)!
[IPv6] WAN1, Type(PPP), Rx EVENT = EVT_TIME_OUT
[DHCPv6c] Send solicit to FF02::1:2 on WAN1
WAN1 PPPoE ==> Protocol:LCP(c021) EchoRep Identifier:0x01 Magic Number: 0x0 00 00 00 00 00 00 ##
WAN1 PPPoE <== Protocol:LCP(c021) EchoReq Identifier:0x01 Magic Number: 0x7382 36 05 00 00 00 00 ##
[DHCPv6c] Send solicit to FF02::1:2 on WAN1
[DHCPv6c] Send solicit to FF02::1:2 on WAN1
[DHCPv6c] Send solicit to FF02::1:2 on WAN1
WAN 1 is up.
IPCP Opening (PPPoE); Own IP Address : <ipv4>  Peer IP Address : <ipv4>; Primary DNS : 1.1.1.1  Secondary DNS : 8.8.8.8
[IPv6] WAN1, Type(PPP), Rx EVENT = EVT_PFX_DELEGATE_ACTIVE
[IPv6] WAN1 IPv6 PPP Open

Maar zowel op EdgeOS als OpenWRT weinig informatie, uit eindelijk wel een soort van logging aan kunnen zetten voor het dhcpv6 script (bij OpenWRT):

code:

Sat Oct 16 14:13:46 2021 user.notice dhcpv6.script: pppoe-wan ra-updated RA_ADDRESSES= RA_REACHABLE=0 CER= PASSTHRU= SERVER= SHLVL=1 HOME=/ RA_MTU=1500 RA_ROUTES=::/0,fe80::86b8:2ff:fe1e:c000,1800,512 NTP_FQDN= RA_DOMAINS= DOMAINS= AFTR= TERM=linux SIP_IP= PATH=/usr/sbin:/usr/bin:/sbin:/bin NTP_IP= RA_HOPLIMIT=64 FAKE_ROUTES=1 RA_DNS= RDNSS= SNTP_IP= RA_RETRANSMIT=0 INTERFACE=wan6 SIP_DOMAIN= PWD=/lib/netifd/proto

Het betreft NG Networks, maar zij kopen het ook weer via een partij (weet niet welke partij). Heb bij hun ook al een ticket aangemaakt, maar zij kunnen niets raars vinden. (En aangezien het met een Draytek en FortiGate wel werkt, waarom zou het dan iet met een ander type werken)..

Je vergeet te delen welk type verbinding je hebt? PPPoE en moet de DHCPv6 aanvraag dan ook in de PPPoE tunnel plaatsvinden?

Bij mij liep het stuk op het onderste vinkje. Hij startte niet met PPPoE voor V6. Wat logisch is: in vlan6 bij KPN stuurt niemand RA’s, dat is encapsulated in PPPoE.

Stap 1 is een IP op je router. Je moet niet de illusie hebben dat je het vanaf een device direct werkend hebt. Als je IPv6 op het WAN wekend hebt (ssh ping6 IPv6.Google.com) daarna naar het LAN kijken.

Kijk vanavond ff naar je logs. Zit nu op mobiel.

[Ankh]

stormfly schreef op zaterdag 16 oktober 2021 @ 15:29:
[...]


Je vergeet te delen welk type verbinding je hebt? PPPoE en moet de DHCPv6 aanvraag dan ook in de PPPoE tunnel plaatsvinden?

Bij mij liep het stuk op het onderste vinkje. Hij startte niet met PPPoE voor V6. Wat logisch is: in vlan6 bij KPN stuurt niemand RA’s, dat is encapsulated in PPPoE.

Stap 1 is een IP op je router. Je moet niet de illusie hebben dat je het vanaf een device direct werkend hebt. Als je IPv6 op het WAN wekend hebt (ssh ping6 IPv6.Google.com) daarna naar het LAN kijken.

Kijk vanavond ff naar je logs. Zit nu op mobiel.

[Afbeelding]

Ja, dat klopt! Maar die optie heb ik zover ik weet niet met openwrt gezien. Kan de edgerouter wel met edgeos installeren, maar dat wordt morgen ergens.

[stormfly]

Ankh schreef op zaterdag 16 oktober 2021 @ 16:12:
[...]

Ja, dat klopt! Maar die optie heb ik zover ik weet niet met openwrt gezien. Kan de edgerouter wel met edgeos installeren, maar dat wordt morgen ergens.

Ja zou ik denk wel doen, bij KPN draaien alle ER's prima met PPPoE op IPv6. Dan kan je met gesloten beurs eerst even wat testen en dieper kijken naar je probleem. Op het KPN forum staan heel veel ER tips, maar gebruik vooral de voorbeeldconfiguraties daar, is een webpage met zip files.

[nero355]

Ankh schreef op zaterdag 16 oktober 2021 @ 09:50:
Aangezien EdgeOS en OpenWRT weinig mogelijkheid hebben tot debug functionaliteiten

Volgens mij kan je in beiden TCPdump draaien : Heb je dat al geprobeerd

[Ankh]

nero355 schreef op zaterdag 16 oktober 2021 @ 23:27:
[...]

Volgens mij kan je in beiden TCPdump draaien : Heb je dat al geprobeerd

Gedaan, maar er is niets zichtbaar. Dat maakt het zo raar, zoals @stormfly al zegt, het zit in het pppoe verkeer. Ik ga hem lig nog even verder onderzoeken.

[Ankh]

Even een update.
Gister aan het einde van de dag heb ik EdgeOS weer op mijn EdgeRouter X geïnstalleerd en vandaag in mijn lunchpauze even wat testen gedaan met TCPDUMP en doormiddel van de volgende commandos:
Sessie 1:

code:

sudo tcpdump -n -i pppoe0 -w /tmp/pppoe0_dhcp-pd.pcap

Sessie 2:

code:

release dhcpv6-pd interface pppoe0
delete dhcpv6-pd duid 
renew dhcpv6-pd interface pppoe0

Daar kwam de volgende wireshark ip6 overzicht vanuit tcpdump (PCAP) uit:


Even ingezoomd op de RA:

In de RA staat dus gewoon mijn volledige /56 subnet! Waarom werkt het dan niet
Verder doorgezocht in de opvolgende Solicit:

Enkel krijgt ie geen response lijkt wel (als ik het goed begrijp)...

Mijn config...

code:

[edit interfaces ethernet eth4]
ubnt@ubnt# show
 duplex auto
 mtu 1512
 speed auto
 vif 32 {
     description "Internet (PPPoE)"
     mtu 1508
     pppoe 0 {
         default-route auto
         dhcpv6-pd {
             no-dns
             pd 0 {
                 interface switch0 {
                     host-address ::1
                     prefix-id :0
                     service slaac
                 }
                 prefix-length /56
             }
             rapid-commit enable
         }
         firewall {
             in {
                 ipv6-name WANv6_IN
                 name WAN_IN
             }
             local {
                 ipv6-name WANv6_LOCAL
                 name WAN_LOCAL
             }
         }
         idle-timeout 180
         ipv6 {
             address {
                 autoconf
             }
             dup-addr-detect-transmits 1
             enable {
             }
         }
         mtu 1500
         name-server auto
         password <pass>
         user-id <user>
     }
 }

[stormfly]

Ankh schreef op dinsdag 19 oktober 2021 @ 13:04:
Even een update.
Gister aan het einde van de dag heb ik EdgeOS weer op mijn EdgeRouter X geïnstalleerd en vandaag in mijn lunchpauze even wat testen gedaan met TCPDUMP en doormiddel van de volgende commandos:
Sessie 1:

code:

sudo tcpdump -n -i pppoe0 -w /tmp/pppoe0_dhcp-pd.pcap

Sessie 2:

code:

release dhcpv6-pd interface pppoe0
delete dhcpv6-pd duid 
renew dhcpv6-pd interface pppoe0

Daar kwam de volgende wireshark ip6 overzicht vanuit tcpdump (PCAP) uit:
[Afbeelding]

Even ingezoomd op de RA:
[Afbeelding]
In de RA staat dus gewoon mijn volledige /56 subnet! Waarom werkt het dan niet
Verder doorgezocht in de opvolgende Solicit:
[Afbeelding]
Enkel krijgt ie geen response lijkt wel (als ik het goed begrijp)...

Mijn config...

code:

[edit interfaces ethernet eth4]
ubnt@ubnt# show
 duplex auto
 mtu 1512
 speed auto
 vif 32 {
     description "Internet (PPPoE)"
     mtu 1508
     pppoe 0 {
         default-route auto
         dhcpv6-pd {
             no-dns
             pd 0 {
                 interface switch0 {
                     host-address ::1
                     prefix-id :0
                     service slaac
                 }
                 prefix-length /56
             }
             rapid-commit enable
         }
         firewall {
             in {
                 ipv6-name WANv6_IN
                 name WAN_IN
             }
             local {
                 ipv6-name WANv6_LOCAL
                 name WAN_LOCAL
             }
         }
         idle-timeout 180
         ipv6 {
             address {
                 autoconf
             }
             dup-addr-detect-transmits 1
             enable {
             }
         }
         mtu 1500
         name-server auto
         password <pass>
         user-id <user>
     }
 }

Leuk dat je bent begonnen met debuggen een aantal zaken vallen mij op:

-DHCPv6 PD dient doorgelaten te worden op je firewall! Advies tijdens troubleshooten de firewall allow-any te geven op IPv6, je wilt zaken versimpelen.

-De RA gaat buiten PPPoE om meen ik? Heb je bij de provider opgevraagd of IPv4 en IPv6 in PPPoE zitten verpakt? Het geeft mij de indruk dat je misschien wel IPv6 native krijgt aangeboden zonder PPPoE...

EDIT ik denk dat jouw IPv6 niet in een PPPoE sessie hoort, maar native wordt uitgereikt in vlan 32 dmv een DHCPv6 PD.

-De uitleg welk device/ v6 adress wie is ontbreekt. De RA's worden verstuurd door je provider, of heb je dit gesniffed op de LAN zijde?

Wat doet een ping vanaf de router zelf naar ipv6.google.com?

In dit topic staat alles wat je wilt weten over IPv6 in PPPoE voor een Edge router.

code:

    ipv6-name WANv6_LOCAL {
        default-action drop
        description "WAN IPv6 naar Router"
        rule 10 {
            action accept
            description "Allow established/related"
            state {
                established enable
                related enable
            }
        }
        rule 20 {
            action drop
            description "Drop invalid state"
            state {
                invalid enable
            }
        }
        rule 30 {
            action accept
            description "Allow IPv6 icmp"
            protocol ipv6-icmp
        }
        rule 40 {
            action accept
            description "Allow dhcpv6"
            destination {
                port 546
            }
            protocol udp
            source {
                port 547
            }
        }
    }

        vif 6 {
            description "KPN Internet"
            mtu 1508
            pppoe 0 {
                default-route auto
                dhcpv6-pd {
                    no-dns
                    pd 0 {
                        interface switch0 {
                            host-address ::1
                            prefix-id :1
                            service slaac
                        }
                        prefix-length /48
                    }
                    rapid-commit enable
                }
                firewall {
                    in {
                        ipv6-name WANv6_IN
                        name WAN_IN
                    }
                    local {
                        ipv6-name WANv6_LOCAL
                        name WAN_LOCAL
                    }
                }
                idle-timeout 180
                ipv6 {
                    address {
                        autoconf
                    }
                    dup-addr-detect-transmits 1
                    enable {
                    }
                }
                mtu 1500
                name-server auto
                password ppp
                user-id XX-XX-XX-XX-XX-XX@internet
            }
        }
    }

[ Voor 28% gewijzigd door stormfly op 19-10-2021 14:10 ]

[Ankh]

stormfly schreef op dinsdag 19 oktober 2021 @ 14:03:
[...]


Leuk dat je bent begonnen met debuggen een aantal zaken vallen mij op:

-DHCPv6 PD dient doorgelaten te worden op je firewall! Advies tijdens troubleshooten de firewall allow-any te geven op IPv6 je wilt zaken versimpelen.

Zal ik doen.

-De RA gaat buiten PPPoE om meen ik? Heb je bij de provider opgevraagd of IPv4 en IPv6 in PPPoE zitten verpakt? Het geeft mij de indruk dat je misschien wel IPv6 native krijgt aangeboden zonder PPPoE...

Bij de draytek moest expliciet ppp over ipv4 aangeven, anders werkte het niet... Als toevoeging hierop, bij Draytek kon ik ook kiezen voor DHCPv6.

-De uitleg welk device/ v6 adress wie is ontbreekt. De RA's worden verstuurd door je provider, of heb je dit gesniffed op de LAN zijde?

Dit heb ik vanaf de router gedaan en niet vanaf een PC.

Wat doet een ping vanaf de router zelf naar ipv6.google.com?

code:

ubnt@ubnt:~$ ping6 ipv6.google.com
PING ipv6.google.com(ams16s21-in-x0e.1e100.net (2a00:1450:400e:802::200e)) 56 data bytes
^C
--- ipv6.google.com ping statistics ---
5 packets transmitted, 0 received, 100% packet loss, time 4086ms

Dit zijn mijn LL addressen:

code:

local  LL address fe80::e069:7abc:92e5:db0f
remote LL address fe80::86b8:02ff:fe1e:c000

Ping6 naar de remote LL werkt:

code:

ubnt@ubnt:~$ ping6 fe80::86b8:02ff:fe1e:c000%pppoe0
PING fe80::86b8:02ff:fe1e:c000%pppoe0(fe80::86b8:2ff:fe1e:c000%pppoe0) 56 data bytes
64 bytes from fe80::86b8:2ff:fe1e:c000%pppoe0: icmp_seq=1 ttl=64 time=2.08 ms
64 bytes from fe80::86b8:2ff:fe1e:c000%pppoe0: icmp_seq=2 ttl=64 time=1.98 ms
64 bytes from fe80::86b8:2ff:fe1e:c000%pppoe0: icmp_seq=3 ttl=64 time=1.95 ms
64 bytes from fe80::86b8:2ff:fe1e:c000%pppoe0: icmp_seq=4 ttl=64 time=1.91 ms
^C
--- fe80::86b8:02ff:fe1e:c000%pppoe0 ping statistics ---
4 packets transmitted, 4 received, 0% packet loss, time 3012ms
rtt min/avg/max/mdev = 1.912/1.982/2.084/0.070 ms

[ Voor 26% gewijzigd door Ankh op 19-10-2021 14:20 ]

[stormfly]

Ankh schreef op dinsdag 19 oktober 2021 @ 14:13:
[...]
Zal ik doen.
[...]
Bij de draytek moest expliciet ppp over ipv4 aangeven, anders werkte het niet... Als toevoeging hierop, bij Draytek kon ik ook kiezen voor DHCPv6.

[...]
Dit heb ik vanaf de router gedaan en niet vanaf een PC.
[...]

code:

ubnt@ubnt:~$ ping6 ipv6.google.com
PING ipv6.google.com(ams16s21-in-x0e.1e100.net (2a00:1450:400e:802::200e)) 56 data bytes
^C
--- ipv6.google.com ping statistics ---
5 packets transmitted, 0 received, 100% packet loss, time 4086ms

Dit zijn mijn LL addressen:

code:

local  LL address fe80::e069:7abc:92e5:db0f
remote LL address fe80::86b8:02ff:fe1e:c000

Ping6 naar de remote LL werkt:

code:

ubnt@ubnt:~$ ping6 fe80::86b8:02ff:fe1e:c000%pppoe0
PING fe80::86b8:02ff:fe1e:c000%pppoe0(fe80::86b8:2ff:fe1e:c000%pppoe0) 56 data bytes
64 bytes from fe80::86b8:2ff:fe1e:c000%pppoe0: icmp_seq=1 ttl=64 time=2.08 ms
64 bytes from fe80::86b8:2ff:fe1e:c000%pppoe0: icmp_seq=2 ttl=64 time=1.98 ms
64 bytes from fe80::86b8:2ff:fe1e:c000%pppoe0: icmp_seq=3 ttl=64 time=1.95 ms
64 bytes from fe80::86b8:2ff:fe1e:c000%pppoe0: icmp_seq=4 ttl=64 time=1.91 ms
^C
--- fe80::86b8:02ff:fe1e:c000%pppoe0 ping statistics ---
4 packets transmitted, 4 received, 0% packet loss, time 3012ms
rtt min/avg/max/mdev = 1.912/1.982/2.084/0.070 ms

Wil je eens een show interfaces (voor IPv6) en een show route (voor IPv6) delen?

Hieronder uit de configuratie van KPN heb je ook een default route gezet?

Gebruik jij ook zelf switch 0 of werk je met routed porten? De aangevraagde prefix /56 moet hij koppelen aan een netwerk element en vanuit daar kan je zelf weer /64's uitdelen. Is het genoemde netwerk element in jouw configuratie de juiste voor jouw omgeving?

code:

            pppoe 0 {
                default-route auto
                dhcpv6-pd {
                    no-dns
                    pd 0 {
                        interface switch0 {

code:

    static {
        interface-route6 ::/0 {
            next-hop-interface pppoe0 {
            }
        }
    }
}

    switch switch0 {
        address 192.168.2.254/24
        description "Thuis netwerk"
        ipv6 {
            dup-addr-detect-transmits 1
             router-advert {
                cur-hop-limit 64
                link-mtu 0
                managed-flag false
                max-interval 600
                name-server 2a02:a47f:e000::53
                name-server 2a02:a47f:e000::54
                other-config-flag false
                prefix ::/64 {
                    autonomous-flag true
                    on-link-flag true
                    valid-lifetime 2592000
                }
                radvd-options "RDNSS 2a02:a47f:e000::53 2a02:a47f:e000::54 {};"
                reachable-time 0
                retrans-timer 0
                send-advert true
            }
       }

[Ankh]

stormfly schreef op dinsdag 19 oktober 2021 @ 14:33:
[...]


Wil je eens een show interfaces (voor IPv6) en een show route (voor IPv6) delen?

Hieronder uit de configuratie van KPN heb je ook een default route gezet?

Gebruik jij ook zelf switch 0 of werk je met routed porten? De aangevraagde prefix /56 moet hij koppelen aan een netwerk element en vanuit daar kan je zelf weer /64's uitdelen. Is het genoemde netwerk element in jouw configuratie de juiste voor jouw omgeving?

code:

            pppoe 0 {
                default-route auto
                dhcpv6-pd {
                    no-dns
                    pd 0 {
                        interface switch0 {

[...]

De switch0 is inderdaad actief:

code:

 switch switch0 {
     address 192.168.30.1/24
     description "Thuis netwerk"
     ipv6 {
         router-advert {
             prefix ::/64 {
             }
         }
     }
     mtu 1500
     switch-port {
         interface eth0 {
         }
         interface eth1 {
         }
         interface eth2 {
         }
         interface eth3 {
         }
         vlan-aware disable
     }
 }

Qua show interfaces en show ipv6 route:

code:

ubnt@ubnt:~$ show interfaces
Codes: S - State, L - Link, u - Up, D - Down, A - Admin Down
Interface    IP Address                        S/L  Description
---------    ----------                        ---  -----------
eth0         -                                 u/u  Local
eth1         -                                 u/D  Local
eth2         -                                 u/D  Local
eth3         -                                 u/D  Local
eth4         -                                 u/u
eth4.32      -                                 u/u  Internet (PPPoE)
lo           127.0.0.1/8                       u/u
             ::1/128
pppoe0       <ipv4>                     u/u
switch0      192.168.30.1/24                   u/u  Thuis netwerk
ubnt@ubnt:~$ show ipv6 interfaces
Invalid command
ubnt@ubnt:~$ show ipv6 route
IPv6 Routing Table
Codes: K - kernel route, C - connected, S - static, R - RIP, O - OSPF,
       IA - OSPF inter area, E1 - OSPF external type 1,
       E2 - OSPF external type 2, N1 - OSPF NSSA external type 1,
       N2 - OSPF NSSA external type 2, B - BGP
Timers: Uptime

IP Route Table for VRF "default"
S      ::/0 [1/0] via ::, pppoe0, 19:52:29
C      ::1/128 via ::, lo, 22:21:31
C      fe80::/10 via ::, pppoe0, 19:52:41
C      fe80::/64 via ::, eth4.32, 22:21:00

Zojuist even gebeld met support afdeling en de vraag gesteld of de IPv6 in de PPPOE zit. Helaas was de engineer niet beschikbaar en heb ik alle (bovenstaande) informatie gedeeld met hun.

[stormfly]

Ankh schreef op dinsdag 19 oktober 2021 @ 16:01:
[...]


De switch0 is inderdaad actief:

code:

 switch switch0 {
     address 192.168.30.1/24
     description "Thuis netwerk"
     ipv6 {
         router-advert {
             prefix ::/64 {
             }
         }
     }
     mtu 1500
     switch-port {
         interface eth0 {
         }
         interface eth1 {
         }
         interface eth2 {
         }
         interface eth3 {
         }
         vlan-aware disable
     }
 }

Qua show interfaces en show ipv6 route:

code:

ubnt@ubnt:~$ show interfaces
Codes: S - State, L - Link, u - Up, D - Down, A - Admin Down
Interface    IP Address                        S/L  Description
---------    ----------                        ---  -----------
eth0         -                                 u/u  Local
eth1         -                                 u/D  Local
eth2         -                                 u/D  Local
eth3         -                                 u/D  Local
eth4         -                                 u/u
eth4.32      -                                 u/u  Internet (PPPoE)
lo           127.0.0.1/8                       u/u
             ::1/128
pppoe0                            u/u
switch0      192.168.30.1/24                   u/u  Thuis netwerk
ubnt@ubnt:~$ show ipv6 interfaces
Invalid command
ubnt@ubnt:~$ show ipv6 route
IPv6 Routing Table
Codes: K - kernel route, C - connected, S - static, R - RIP, O - OSPF,
       IA - OSPF inter area, E1 - OSPF external type 1,
       E2 - OSPF external type 2, N1 - OSPF NSSA external type 1,
       N2 - OSPF NSSA external type 2, B - BGP
Timers: Uptime

IP Route Table for VRF "default"
S      ::/0 [1/0] via ::, pppoe0, 19:52:29
C      ::1/128 via ::, lo, 22:21:31
C      fe80::/10 via ::, pppoe0, 19:52:41
C      fe80::/64 via ::, eth4.32, 22:21:00

Zojuist even gebeld met support afdeling en de vraag gesteld of de IPv6 in de PPPOE zit. Helaas was de engineer niet beschikbaar en heb ik alle (bovenstaande) informatie gedeeld met hun.

Tnx ff je IP prive maken in de output.

Heb je ook een show interfaces voor IPv6, kan de ER dat? Nu je weet dat je aan de WAN zijde kunt pingen kan je de LAN zijde ook inrichten. Hoe je hem nu hebt staan voorzie ik dat je te weinig parameters hebt om de RA's op het LAN te versturen, krijgen je clients een v6 adres? Name servers zijn vanzelfsprekend van KPN, en werken niet in jouw config.

Bij DHCPv6 PD vraagt hij een prefix op en zet een deel daarvan door naar switch0 mogelijk is dat jouw ontbrekende schakel.

code:

    switch switch0 {
        address 192.168.2.254/24
        description "Thuis netwerk"
        ipv6 {
            dup-addr-detect-transmits 1
             router-advert {
                cur-hop-limit 64
                link-mtu 0
                managed-flag false
                max-interval 600
                name-server 2a02:a47f:e000::53
                name-server 2a02:a47f:e000::54
                other-config-flag false
                prefix ::/64 {
                    autonomous-flag true
                    on-link-flag true
                    valid-lifetime 2592000
                }
                radvd-options "RDNSS 2a02:a47f:e000::53 2a02:a47f:e000::54 {};"
                reachable-time 0
                retrans-timer 0
                send-advert true
            }
       }

[Miki]

Ligt het aan mij of zit het hem in de opgegeven prefix lengte? 64 zou in dit specifieke geval 56 moeten zijn right

Ps. inderdaad even je IP adres afschermen

[ Voor 17% gewijzigd door Miki op 19-10-2021 16:13 ]

[Ankh]

stormfly schreef op dinsdag 19 oktober 2021 @ 16:06:
[...]


Tnx ff je IP prive maken in de output.

Heb je ook een show interfaces voor IPv6, kan de ER dat?

Nee, zover ik heb kunnen vinden niet. Een ip -6 a kan natuurlijk wel, of bedoel je dat niet?

Nu je weet dat je aan de WAN zijde kunt pingen kan je de LAN zijde ook inrichten. Hoe je hem nu hebt staan voorzie ik dat je te weinig parameters hebt om de RA's op het LAN te versturen, krijgen je clients een v6 adres? Name servers zijn vanzelfsprekend van KPN, en werken niet in jouw config.

Bij DHCPv6 PD vraagt hij een prefix op en zet een deel daarvan door naar switch0 mogelijk is dat jouw ontbrekende schakel.

Dit heb ik nu toegepast:

code:

ubnt@ubnt# show
 address 192.168.30.1/24
 description "Thuis netwerk"
 ipv6 {
     dup-addr-detect-transmits 1
     router-advert {
         cur-hop-limit 64
         link-mtu 0
         managed-flag false
         max-interval 600
         name-server 2606:4700:4700::1111
         name-server 2606:4700:4700::1001
         other-config-flag false
         prefix ::/64 {
             autonomous-flag true
             on-link-flag true
             valid-lifetime 2592000
         }
         radvd-options "RDNSS 2606:4700:4700::1111 2606:4700:4700::1001 {};"
         reachable-time 0
         retrans-timer 0
         send-advert true
     }
 }
 mtu 1500
 switch-port {
     interface eth0 {
     }
     interface eth1 {
     }
     interface eth2 {
     }
     interface eth3 {
     }
     vlan-aware disable
 }

Zal vanavond even een herstart geven en kijken of ik nieuwe tcpdump kan maken.

Miki schreef op dinsdag 19 oktober 2021 @ 16:10:
Ligt het aan mij of zit het hem in de opgegeven prefix lengte? 64 zou in dit specifieke geval 56 moeten zijn right

Ps. inderdaad even je IP adres afschermen

Als ik het goed heb begrepen, heb ik een /56 subnet en deze kan je dan weer opsplitsen in /64 subnets.

en done

[stormfly]

@Ankh

code:

set interfaces ethernet eth4 vif32 pppoe 0 ipv6 enable
set interfaces ethernet ether (LAN) ipv6 enable

Ik zie nog te weinig IPv6 output op je interfaces, in de webGUI zit ook nog een vinkje voor IPv6 global, staat deze aan?

code:

eerste SSH sessie
tcpdump -n -i pppoe0 ip6 and udp port 546 or udp port 547 -w /tmp/ip6.pcap

tweede SSH sessie (syntax kan afwijken omdat je vlan32 gebruikt, even aanvullen met tab)
release dhcpv6-pd interface pppoe0
delete dhcpv6-pd duid
renew dhcpv6-pd interface pppoe0

Je kan ook nog spelen met rapid commit:

code:

set interfaces ethernet eth4 vif32 pppoe dhcpv6-pd rapid-commit enable

[ Voor 16% gewijzigd door stormfly op 19-10-2021 20:48 ]

[Dacuuu]

Het ijs is gebroken, ik heb zojuist baremetal Opnsense geïnstalleerd.

Tmobile glas, alleen internet. Geen Tv en of bellen.
Ik heb vlan 300 aan de wan interface gehangen, en zowaar ik heb internet..
Verder heb ik niets aangepast/ingesteld.
Nu alles default staat, idat is "veilig" toch? Niet dat alles wagenwijd openstaat voor de buiten wereld omdat ik een vinkje ben vergeten aan te zetten ofzo..

[oltk]

Dacuuu schreef op dinsdag 19 oktober 2021 @ 20:44:
Het ijs is gebroken, ik heb zojuist baremetal Opnsense geïnstalleerd.

Tmobile glas, alleen internet. Geen Tv en of bellen.
Ik heb vlan 300 aan de wan interface gehangen, en zowaar ik heb internet..
Verder heb ik niets aangepast/ingesteld.
Nu alles default staat, idat is "veilig" toch? Niet dat alles wagenwijd openstaat voor de buiten wereld omdat ik een vinkje ben vergeten aan te zetten ofzo..

[Afbeelding]
[Afbeelding]

Ik zat met hetzelfde dilemma. Je weet niet hoe "gebruikersvriendelijk" of "tweakerlike" dat OPNsense is.
Maar als je kijkt bij

menu/firewall/rules/lan

en je ziet rules (er zijn ook nogal wat hidden als automatically generated rules) weet je dat er in ieder geval geen lege firewall staat.


ps: mijn rule op 192.168.0.57 heb ik toegevoegd op wat verder standaard is. Deze rule blokkeert een specifiek IoT device dat anders zelfstandig verbinding maakt met een server in de VS. Dat hoeft van mij niet (ik moet nog gaan experimenteren met vlans ).

Je kan ook nog even kijken in

menu/firewall/log files/live view

Dan zie je real time allows en blocks voorbij komen. Als je blocks ziet (circa 1/3 van het aantal) weet je dat je firewall draait.

Ik kan echter niets zeggen of er geen betere / additionele rules denkbaar zijn Misschien dat een van de geeks hier nog wat info kan geven.

[ Voor 22% gewijzigd door oltk op 19-10-2021 20:58 ]

[Dacuuu]

oltk schreef op dinsdag 19 oktober 2021 @ 20:50:
[...]


Ik zat met hetzelfde dilemma. Je weet niet hoe "gebruikersvriendelijk" of "tweakerlike" dat OPNsense is.
Maar als je kijkt bij

menu/firewall/rules/lan

en je ziet rules (er zijn ook nogal wat hidden als automatically generated rules) weet je dat er in ieder geval geen lege firewall staat.
[Afbeelding]

ps: mijn rule op 192.168.0.57 heb ik toegevoegd op wat verder standaard is. Deze rule blokkeert een specifiek IoT device dat anders zelfstandig verbinding maakt met een server in de VS. Dat hoeft van mij niet (ik moet nog gaan experimenteren met vlans ).

Je kan ook nog even kijken in

menu/firewall/log files/live view

Dan zie je real time allows en blocks voorbij komen. Als je blocks ziet (circa 1/3 van het aantal) weet je dat je firewall draait.

Ik kan echter niets zeggen of er geen betere / additionele rules denkbaar zijn Misschien dat een van de geeks hier nog wat info kan geven.

Een lotgenoot Ik vind het erg leuk om het te leren, en het is voor mij weer een stapje verder dan mijn Asus router, al wist ik daar ook nog niet alles van hoor, maar zoeken,kijken,lezen,vragen op internet helpt veel.

Mijn LAN/WAN rules ziin default:



Bij menu/firewall/log files/live view zie ik blocks op de Wan interface, ook met Ip adressen uit Rusland etc,die hebben me al gevonden dan.


Edit:
Alles werkt weer bijna zoals met de oude asus 68u, ik heb nu ook poort 443 open staan voor mijn reverse proxy. Alleen een ding werkt nog niet, en ik denk dat ik het moet zoeken bij Opnsense..

Ik draai Home-assistant achter de reverse proxy, en gebruik thuis en buitenhuis altijd he externe adres:
homeassistant.domeinnaam.com

Maar nu werkt homeassistant.domeinnaam.com wel via de 4G verbinding, maar niet vanuit mijn thuis LAN. Op de lan werkt alleen 192.168.x.x:8123 om Home-assistant te bereiken. Ik denk dat ik ergens nog een regel gemist heb in Opnsense?

[ Voor 14% gewijzigd door Dacuuu op 19-10-2021 22:24 ]

[oltk]

Dacuuu schreef op dinsdag 19 oktober 2021 @ 21:03:
[...]


Een lotgenoot Ik vind het erg leuk om het te leren, en het is voor mij weer een stapje verder dan mijn Asus router, al wist ik daar ook nog niet alles van hoor, maar zoeken,kijken,lezen,vragen op internet helpt veel.

Haha. Ja. Ik had ook een Asus router, waarvan al 5 jaar geen updates meer binnen kwamen. En dan is de keuze te gaan voor iets van Ubiquiti (heel duur en brakke firmware), een consumentending, zoals de Asus, en met weinig inzicht in wat er gebeurd. Of zelf bouwen met een oude- of 2e hands minicomputer. We zijn niet bang.

Mijn LAN/WAN rules ziin default:
[Afbeelding]
[Afbeelding]

Hetzelfde als wat ik heb dus (behalve die zelf geknutselde rule)

Bij menu/firewall/log files/live view zie ik blocks op de Wan interface, ook met Ip adressen uit Rusland etc,die hebben me al gevonden dan.

Ja. zucht. Ik kreeg op een gegeven moment 1 aanval per seconde op mijn synology NAS. China of Rusland. Nu had ik mijn admin account allang gedisabled, maar telkens pogingen met admin binnen te komen. Toen verdiepte ik me daar maar eens in, en heb een reverse proxy geknutseld in het NAS met een letsencrypt certifikaat. Dat scheelde aanzienlijk.

[nero355]

Dacuuu schreef op dinsdag 19 oktober 2021 @ 21:03:
Edit:
Alles werkt weer bijna zoals met de oude asus 68u, ik heb nu ook poort 443 open staan voor mijn reverse proxy. Alleen een ding werkt nog niet, en ik denk dat ik het moet zoeken bij Opnsense..

Ik draai Home-assistant achter de reverse proxy, en gebruik thuis en buitenhuis altijd he externe adres:
homeassistant.domeinnaam.com

Maar nu werkt homeassistant.domeinnaam.com wel via de 4G verbinding, maar niet vanuit mijn thuis LAN. Op de lan werkt alleen 192.168.x.x:8123 om Home-assistant te bereiken. Ik denk dat ik ergens nog een regel gemist heb in Opnsense?

Dat heet Reverse NAT of NAT Loopback maar dat is een redelijk ongewenste ranzige oplossing dus ga eens op zoek naar alternatieve oplossingen!

[Kabouterplop01]

is helemaal niet ranzig, het is gemaakt voor dit soort situaties.
maar de oplossing is DNS. (Moet je wel een eigen DNS server hebben... oh wacht )

[oltk]

Kabouterplop01 schreef op dinsdag 19 oktober 2021 @ 23:26:
is helemaal niet ranzig, het is gemaakt voor dit soort situaties.
maar de oplossing is DNS. (Moet je wel een eigen DNS server hebben... oh wacht )

Het is een complexe wereld
https://www.reddit.com/r/...events_nat_loopback_so_i/

[Kabouterplop01]

oltk schreef op dinsdag 19 oktober 2021 @ 23:45:
[...]

Het is een complexe wereld
https://www.reddit.com/r/...events_nat_loopback_so_i/

Hmm ja en nee, ik heb er ong 20 jaar in gewerkt in alles wat met netwerkapparatuur wordt verbonden t/m backbone routers en switches van een ISP met complexe proto's.
Op een gegeven moment weet je hoe het werkt.
Maar als je het niet weet, dan moet je het vragen. et voila

[Dacuuu]

nero355 schreef op dinsdag 19 oktober 2021 @ 22:56:
[...]

Dat heet Reverse NAT of NAT Loopback maar dat is een redelijk ongewenste ranzige oplossing dus ga eens op zoek naar alternatieve oplossingen!

Dat zocht ik En het werkt inmiddels, ik heb bij Services: Unbound DNS: Overrides. Host overrides aangemaakt. Het leuke er van is, dat ik er vorig jaar al een keer mee bezig ben geweest bij mijn rasperry pi hole. Toen had ik in Pi-hole al een lijstje met domeinnamen ingevoerd bij "List of local DNS domains"


Nu ga ik me inlezen hoe dat nu precies werkt, nat-loopback.

[Vorkie]

Op PFSense heet het Pure NAT: onder NAT reflection mode.

[ Voor 3% gewijzigd door Vorkie op 20-10-2021 09:06 ]

[Ankh]

stormfly schreef op dinsdag 19 oktober 2021 @ 20:41:
@Ankh

code:

set interfaces ethernet eth4 vif32 pppoe 0 ipv6 enable
set interfaces ethernet ether (LAN) ipv6 enable

Op eth4 is dit actief, op switch0 niet (kan niet). Het wordt automatisch met de RA geactiveerd.

Ik zie nog te weinig IPv6 output op je interfaces, in de webGUI zit ook nog een vinkje voor IPv6 global, staat deze aan?

code:

eerste SSH sessie
tcpdump -n -i pppoe0 ip6 and udp port 546 or udp port 547 -w /tmp/ip6.pcap

tweede SSH sessie (syntax kan afwijken omdat je vlan32 gebruikt, even aanvullen met tab)
release dhcpv6-pd interface pppoe0
delete dhcpv6-pd duid
renew dhcpv6-pd interface pppoe0

Dit heb ik uitgevoerd en kreeg dus ook alleen de solicit melding terug en geen enkele reply. Ik ga nog even in mijn firewall duiken. Ik heb de inrichting van het KPN fora gehanteerd. Ik zal hem even openzetten, misschien dat er dan meer verkeer zichtbaar is.

Je kan ook nog spelen met rapid commit:

code:

set interfaces ethernet eth4 vif32 pppoe dhcpv6-pd rapid-commit enable

Deze is reeds actief (heb zowel zonder als met geprobeerd).

Helaas nog geen reactie van de support afdeling. Zal eens navraag doen m.b.t. mijn contract, want prijs technisch ben ik tegenwoordig goedkoper uit met een gigabit verbinding via KPN als ik het via deze partij doe.

[nero355]

Kabouterplop01 schreef op dinsdag 19 oktober 2021 @ 23:26:
is helemaal niet ranzig, het is gemaakt voor dit soort situaties.

Het wordt wel over het algemeen als ongewenst gezien, omdat het voor het een en ander misbruikt kan worden dus als je daarmee kan leven dan is het inderdaad een optie voor zulke situaties!

maar de oplossing is DNS. (Moet je wel een eigen DNS server hebben... oh wacht )

Uiteraard, maar dat mag die lekker zelf uitzoeken, want leerzaam!

[Uberprutser]

Uberprutser schreef op zaterdag 21 augustus 2021 @ 11:43:
[...]
Ben in gesprek met de fabrikant om eind dit jaar een kleinere batch te laten maken met andere hardware, bijvoorbeeld 1/10Gbit SFP ipv 10Gbit SFP+ en uitbreidingsmogelijkheden van o.a. geheugen en toevoeging van M2 NVMe.

Uiteindelijk kwam het neer op een dure variant/equivalent van de Netgate 6100 dus icm de schaarste op de markt gaat het 'm niet worden.

[Kabouterplop01]

nero355 schreef op woensdag 20 oktober 2021 @ 22:32:
[...]

Het wordt wel over het algemeen als ongewenst gezien, omdat het voor het een en ander misbruikt kan worden dus als je daarmee kan leven dan is het inderdaad een optie voor zulke situaties!

Juist, maar dat is dan wel iets om te vertellen, want je weet zelf dat we eerst domweg na apen en dan pas na een tijdje er achter komen dat er ergens iets mis is. Het is heel vervelend als je ineens chinese mailtjes van je smart televisie krijgt

[Dacuuu]

Mijn volgende stap was het gebruiken van de dns servers van Adguard Volgens mij staan de instellingen zo goed, klopt dat?


Ik heb op mijn unraid server ook nog een ongebruikte Pihole container staan, die gebruikte ik "vroeger" met de asus 68u router, waar het aanpassen van het DNS adres een fluitje van een cent was.

Settings General:


Unbind settings:


Lan settings:



Extra info: ik heb bij unbound DNS ook een stel overrides gemaakt op mijn thuis gehoste producten via mijn externe domeinnaam te kunnen bereiken.

[rretep]

Heb hier momenteel een zelfbouw (Dell Optiplex SF) router/firewall met PfSense draaien. Ben recent van XS4ALL naar KPN overgestapt i.v.m. het aanbieden van een gigabit verbinding. Nu heb ik bij de oplevering van KPN een Experia V12 box gekregen welke ook WiFi 6 ondersteuning heeft. Gezien ik de glasvezelaansluiting direct op mijn PfSense machine heb aangesloten en dit eigenlijk ook zo wil houden en ik geen netwerk expert ben, kan iemand me vertellen of het mogelijk is om de Experia V12 vanuit mijn PfSense machine toch van internet te voorzien en me in de juiste richting kan duwen?

Gebruik momenteel thuis een Ubiquiti FlexHD voor het WiFi en in principe werkt dat allemaal prima. Maar heb ook een aantal apparaten die WiFi 6 ondersteunen dus waarom niet de Experia V12 gebruiken mocht dat mogelijk zijn.

Bij voorbaat dank.

[Vorkie]

rretep schreef op vrijdag 22 oktober 2021 @ 18:41:
Heb hier momenteel een zelfbouw (Dell Optiplex SF) router/firewall met PfSense draaien. Ben recent van XS4ALL naar KPN overgestapt i.v.m. het aanbieden van een gigabit verbinding. Nu heb ik bij de oplevering van KPN een Experia V12 box gekregen welke ook WiFi 6 ondersteuning heeft. Gezien ik de glasvezelaansluiting direct op mijn PfSense machine heb aangesloten en dit eigenlijk ook zo wil houden en ik geen netwerk expert ben, kan iemand me vertellen of het mogelijk is om de Experia V12 vanuit mijn PfSense machine toch van internet te voorzien en me in de juiste richting kan duwen?

Gebruik momenteel thuis een Ubiquiti FlexHD voor het WiFi en in principe werkt dat allemaal prima. Maar heb ook een aantal apparaten die WiFi 6 ondersteunen dus waarom niet de Experia V12 gebruiken mocht dat mogelijk zijn.

Bij voorbaat dank.

Heb je dan PFsense dan wel nodig en haal je uberhaubt wel de 1Gbit/s met dat systeempje?

WiFi 6 is geen heilig dingetje, dus daar zou ik niet de moeite voor doen om alles om te bouwen

[rretep]

Ik haal volgens de speedtest van KPN ongeveer 950 Mb/s. Dus zit dicht genoeg bij de 1 Gb/s zou ik zeggen. Bij KPN zijn de up/down ongeveer gelijk, bij XS4ALL zag ik dat de upload altijd een stuk hoger was dan de download. En in het systeempje zit gewoon een i5-7500. Voor een klein thuisnetwerk met wat systemen in VLAN's opgedeeld zou dat toch voldoende moeten zijn. Een zelfbouw router/firewall biedt gewoon veel meer mogelijkheden en het is leuk om er mee te spelen. Dus de vraag of ik PfSense wel nodig heb vind ik wat vreemd.

En dat WiFi 6 geen heilig dingetje is, dat geloof ik direct. Wat ik weggelaten is dat ik hier ook nog een Ring deurbel heb, waarbij ik op de een of andere manier onvoldoende signaal heb om beeld te krijgen. Het vreemde is dat dit helemaal in het begin (met toen nog het modem van XS4ALL volgens mij, een Fritzbox) wel kort heeft gewerkt. Maar om de een of andere reden blijft de Ring deurbel onvoldoende signaal krijgen om beeld te geven (zowel met de FlexHD als het oude modem van XS4ALL), terwijl als ik er direct naast sta met mijn telefoon ik gewoon perfecte ontvangst heb. Maar of de Ring deurbel wel met de Experia v12 werkt kan ik uiteraard ook zonder de PfSetup los testen. Maar mocht ik daarmee wel voldoende signaal hebben om beeld te krijgen, zou ik de Experia graag in het netwerk opnemen.

[Tom Paris]

Dacuuu schreef op vrijdag 22 oktober 2021 @ 17:49:
Mijn volgende stap was het gebruiken van de dns servers van Adguard Volgens mij staan de instellingen zo goed, klopt dat?

Ik zou nog een aantal regels toevoegen die al het DNS verkeer naar servers anders dan je router afvangen, en om DoT/DoH te blokkeren.

[Yoshimi]

Wellicht kan iemand me op weg helpen met het volgende.
Ik draai een OPNsense installatie met:
- Unbound als DNS revolver
- dnssec geactiveerd
- dnsbl geactiveerd (Steven Black als enige lijst actief)
- aantal domeinen gewhitelist (uit Pi-hole artikel)
Sinds een aantal dagen merk ik op dat een aantal sites niet (meer) resolven of bepaalde content niet weergeven.

Voorbeeld; de site van Boels resolved niet, NPO Start laat geen thumbnails zien, maar speelt wel content af zodra ik iets uitkies. Een nslookup naar adressen die niet benaderbaar zijn lossen wel normaal op.

Zodra ik DNS over TLS servers activeer (bijvoorbeeld Quad9), heb ik dit euvel niet.
Dacht eerst dat het een cache issue op de firewall is, dus die al geleegd en diverse malen herstart, echter zonder resultaat.
Enige tips om verder te troubleshooten?

[Dacuuu]

Tom Paris schreef op vrijdag 22 oktober 2021 @ 20:51:
[...]


Ik zou nog een aantal regels toevoegen die al het DNS verkeer naar servers anders dan je router afvangen, en om DoT/DoH te blokkeren.

Goeie, maar volgens mij krijg ik het nog niet helemaal werkend.

Ik heb gebruik gemaakt van deze: https://homenetworkguy.co...ts-to-local-dns-resolver/ en deze: https://forum.opnsense.org/index.php?topic=9245.0 tutorial.

Ik heb bij unbound dns block listen aan staan,als ik op de laptop handmatig dns instel, 8.8.8.8 bijvoorbeeld, lijkt. Zie ik gewoon reclame, switch ik weer naar opnsense dns 192.168.1.1, dan is de reclame weg. Dit test ik in Chrome incognito, en de nodige ipconfig /flushdns via windows cmd line.

Oja nog iets, welke upstream dns server gebruik ik nu?


System general settings:
https://i.imgur.com/BvTkklC.jpg

Unbound dns general: https://i.imgur.com/BQKJbVW.jpg

Dhcp v4 settings:
https://i.imgur.com/Uj2qULE.jpg

Firewall port forward:
https://i.imgur.com/XhoP6Qq.jpg

EDIT:
Na letterlijk uren proberen, werkt het nu!
Met deze regel: https://i.imgur.com/hTMWNdp.png

[ Voor 4% gewijzigd door Dacuuu op 23-10-2021 23:42 ]

[Harmen]

Top Daccuuu, heb hetzelfde ook zo een tijdje gedraaid. Heb unbound DNSbl uitgezet omdat ik een optie miste voor het uitschakelen van de filter. Gebruik nu al een paar weken Sensei. Deze heeft meer opties en rapportages.

[Ankh]

@stormfly
Weer even een update.
Heb de Draytek er tussen gezet met een port mirror voor Wireshark en een werkende ipv6 verbinding laten opbouwen. Uit de trace blijkt (en ben er nog niet verder ingedoken) dat de ipv6 verbinding gewoon over de pppoe verbinding gaat. Ik ga er nog even induiken m.b.t. RA / solicit melding, maar de verbinding is relatief snel opgebouwd.

Daarnaast heb ik de WANv6_LOCAL firewall rules op ACCEPT gezet, zodat al het verkeer richting de router wordt geaccepteerd. Maar:

code:

paul@ubnt:~$ sudo tcpdump -r /tmp/ip6-4.pcap
reading from file /tmp/ip6-4.pcap, link-type LINUX_SLL (Linux cooked)
09:49:03.644647 IP6 fe80::3d0a:d9fa:afc3:62ea.dhcpv6-client > ff02::1:2.dhcpv6-server: dhcp6 solicit
09:49:20.160846 IP6 fe80::3d0a:d9fa:afc3:62ea.dhcpv6-client > ff02::1:2.dhcpv6-server: dhcp6 solicit
09:49:21.228669 IP6 fe80::3d0a:d9fa:afc3:62ea.dhcpv6-client > ff02::1:2.dhcpv6-server: dhcp6 solicit
09:49:23.288607 IP6 fe80::3d0a:d9fa:afc3:62ea.dhcpv6-client > ff02::1:2.dhcpv6-server: dhcp6 solicit
09:49:27.340614 IP6 fe80::3d0a:d9fa:afc3:62ea.dhcpv6-client > ff02::1:2.dhcpv6-server: dhcp6 solicit
09:49:35.764600 IP6 fe80::3d0a:d9fa:afc3:62ea.dhcpv6-client > ff02::1:2.dhcpv6-server: dhcp6 solicit
09:49:52.524614 IP6 fe80::3d0a:d9fa:afc3:62ea.dhcpv6-client > ff02::1:2.dhcpv6-server: dhcp6 solicit
09:50:24.440699 IP6 fe80::3d0a:d9fa:afc3:62ea.dhcpv6-client > ff02::1:2.dhcpv6-server: dhcp6 solicit
09:51:30.964643 IP6 fe80::3d0a:d9fa:afc3:62ea.dhcpv6-client > ff02::1:2.dhcpv6-server: dhcp6 solicit

helaas...

Moet de reactie van de support afdeling maar even afwachten.

[stormfly]

Ankh schreef op zondag 24 oktober 2021 @ 10:54:
@stormfly
Weer even een update.
Heb de Draytek er tussen gezet met een port mirror voor Wireshark en een werkende ipv6 verbinding laten opbouwen. Uit de trace blijkt (en ben er nog niet verder ingedoken) dat de ipv6 verbinding gewoon over de pppoe verbinding gaat. Ik ga er nog even induiken m.b.t. RA / solicit melding, maar de verbinding is relatief snel opgebouwd.

Daarnaast heb ik de WANv6_LOCAL firewall rules op ACCEPT gezet, zodat al het verkeer richting de router wordt geaccepteerd. Maar:

code:

paul@ubnt:~$ sudo tcpdump -r /tmp/ip6-4.pcap
reading from file /tmp/ip6-4.pcap, link-type LINUX_SLL (Linux cooked)
09:49:03.644647 IP6 fe80::3d0a:d9fa:afc3:62ea.dhcpv6-client > ff02::1:2.dhcpv6-server: dhcp6 solicit
09:49:20.160846 IP6 fe80::3d0a:d9fa:afc3:62ea.dhcpv6-client > ff02::1:2.dhcpv6-server: dhcp6 solicit
09:49:21.228669 IP6 fe80::3d0a:d9fa:afc3:62ea.dhcpv6-client > ff02::1:2.dhcpv6-server: dhcp6 solicit
09:49:23.288607 IP6 fe80::3d0a:d9fa:afc3:62ea.dhcpv6-client > ff02::1:2.dhcpv6-server: dhcp6 solicit
09:49:27.340614 IP6 fe80::3d0a:d9fa:afc3:62ea.dhcpv6-client > ff02::1:2.dhcpv6-server: dhcp6 solicit
09:49:35.764600 IP6 fe80::3d0a:d9fa:afc3:62ea.dhcpv6-client > ff02::1:2.dhcpv6-server: dhcp6 solicit
09:49:52.524614 IP6 fe80::3d0a:d9fa:afc3:62ea.dhcpv6-client > ff02::1:2.dhcpv6-server: dhcp6 solicit
09:50:24.440699 IP6 fe80::3d0a:d9fa:afc3:62ea.dhcpv6-client > ff02::1:2.dhcpv6-server: dhcp6 solicit
09:51:30.964643 IP6 fe80::3d0a:d9fa:afc3:62ea.dhcpv6-client > ff02::1:2.dhcpv6-server: dhcp6 solicit

helaas...

Moet de reactie van de support afdeling maar even afwachten.

Dank voor de update, de WANv6 local is inderdaad om de DHCPv6PD aanvraag op het WAN te voltooien. Daarna moet je op de LANv6 local (als die bestaat) ook e.a. doorlaten.

Op basis van je UBNT host trace lijkt er erop dat je aan de LAN zijde IPv6 RA/DHCPv6 nog niet juist geconfigureerd hebt. Er vanuit gaande dat de UBNT host op het LAN zit.

[Ankh]

stormfly schreef op zondag 24 oktober 2021 @ 10:58:
[...]


Dank voor de update, de WANv6 local is inderdaad om de DHCPv6PD aanvraag op het WAN te voltooien. Daarna moet je op de LANv6 local (als die bestaat) ook e.a. doorlaten.

Op basis van je UBNT host trace lijkt er erop dat je aan de LAN zijde IPv6 RA/DHCPv6 nog niet juist geconfigureerd hebt. Er vanuit gaande dat de UBNT host op het LAN zit.

eth4 is de WAN, de rest (0 t/m 3) zijn gelinkt als switch0:

code:

switch switch0 {
     address 192.168.30.1/24
     description "Thuis netwerk"
     ipv6 {
         dup-addr-detect-transmits 1
         router-advert {
             cur-hop-limit 64
             link-mtu 0
             managed-flag true
             max-interval 600
             other-config-flag false
             prefix ::/64 {
                 autonomous-flag true
                 on-link-flag true
                 valid-lifetime 7200
             }
             reachable-time 0
             retrans-timer 0
             send-advert true
         }
     }
     mtu 1500
     switch-port {
         interface eth0 {
         }
         interface eth1 {
         }
         interface eth2 {
         }
         interface eth3 {
         }
         vlan-aware disable
     }
 }

Hmm, was even op mijn server waar o.a. ook syslog draait en zie dit nu voorbij komen:

code:

[WANv6_LOCAL-30-A]IN=pppoe0 OUT= MAC= SRC=fe80:0000:0000:0000:86b8:02ff:fe1e:c000 DST=fe80:0000:0000:0000:3d0a:d9fa:afc3:62ea LEN=64 TC=224 HOPLIMIT=255 FLOWLBL=0 PROTO=ICMPv6 TYPE=134 CODE=0
[WANv6_LOCAL-30-A]IN=pppoe0 OUT= MAC= SRC=fe80:0000:0000:0000:3d0a:d9fa:afc3:62ea DST=ff02:0000:0000:0000:0000:0000:0000:0002 LEN=48 TC=0 HOPLIMIT=255 FLOWLBL=392669 PROTO=ICMPv6 TYPE=133 CODE=0

Dit is de WANv6_LOCAL:

code:

set firewall ipv6-name WANv6_LOCAL default-action drop
set firewall ipv6-name WANv6_LOCAL description 'WAN IPv6 naar Router'
set firewall ipv6-name WANv6_LOCAL enable-default-log
set firewall ipv6-name WANv6_LOCAL rule 1 action accept
set firewall ipv6-name WANv6_LOCAL rule 1 description 'Allow established/related sessions'
set firewall ipv6-name WANv6_LOCAL rule 1 protocol all
set firewall ipv6-name WANv6_LOCAL rule 1 state established enable
set firewall ipv6-name WANv6_LOCAL rule 1 state related enable
set firewall ipv6-name WANv6_LOCAL rule 2 action drop
set firewall ipv6-name WANv6_LOCAL rule 2 description 'Drop invalid state'
set firewall ipv6-name WANv6_LOCAL rule 2 protocol all
set firewall ipv6-name WANv6_LOCAL rule 2 state invalid enable
set firewall ipv6-name WANv6_LOCAL rule 30 action accept
set firewall ipv6-name WANv6_LOCAL rule 30 description 'Allow IPv6 icmp'
set firewall ipv6-name WANv6_LOCAL rule 30 log enable
set firewall ipv6-name WANv6_LOCAL rule 30 protocol ipv6-icmp
set firewall ipv6-name WANv6_LOCAL rule 40 action accept
set firewall ipv6-name WANv6_LOCAL rule 40 description 'allow dhcpv6'
set firewall ipv6-name WANv6_LOCAL rule 40 destination port 546
set firewall ipv6-name WANv6_LOCAL rule 40 log enable
set firewall ipv6-name WANv6_LOCAL rule 40 protocol udp

[ Voor 40% gewijzigd door Ankh op 24-10-2021 11:44 ]

[nero355]

rretep schreef op vrijdag 22 oktober 2021 @ 19:42:
Wat ik weggelaten is dat ik hier ook nog een Ring deurbel heb, waarbij ik op de een of andere manier onvoldoende signaal heb om beeld te krijgen. Het vreemde is dat dit helemaal in het begin (met toen nog het modem van XS4ALL volgens mij, een Fritzbox) wel kort heeft gewerkt. Maar om de een of andere reden blijft de Ring deurbel onvoldoende signaal krijgen om beeld te geven (zowel met de FlexHD als het oude modem van XS4ALL), terwijl als ik er direct naast sta met mijn telefoon ik gewoon perfecte ontvangst heb. Maar of de Ring deurbel wel met de Experia v12 werkt kan ik uiteraard ook zonder de PfSetup los testen. Maar mocht ik daarmee wel voldoende signaal hebben om beeld te krijgen, zou ik de Experia graag in het netwerk opnemen.

Die deurbel moet je gewoon uit het huis schoppen en dan verder dan je voordeur deze keer : https://nl.hardware.info/...-met-adverteerders-update

[Ankh]

@stormfly
Vandaag nog maar even verder op onderzoek gegaan in mijn wireshark captures.
Hetgeen mij is opgevallen is dat in alle draytek ICMPv6 en DHCPv6 captures, mijn PPPOE verbinding zichtbaar is:

Bij de EdgeOS:


Mijn vermoeden is toch echt dat EdgeOS (en OpenWRT) zijn IPv6 verkeer buiten de PPPOE sessie om aanvraagt.

[edit]
Om het nog wat raarder te maken (was even bezig met de firewall):

code:

[510843.200879] [WANv6_IN-default-D]IN=pppoe0 OUT=pppoe0 MAC= SRC=240e:00f7:4f01:000c:0000:0000:0000:0003 DST=<mijn ipv6>:0000:0000:0000:dff3 LEN=64 TC=0 HOPLIMIT=238 FLOWLBL=0 PROTO=TCP SPT=60462 DPT=80 WINDOW=29200 RES=0x00 SYN URGP=0
[510844.442288] [WANv6_IN-default-D]IN=pppoe0 OUT=pppoe0 MAC= SRC=240e:00f7:4f01:000c:0000:0000:0000:0003 DST=<mijn ipv6>:0000:0000:0000:c32b LEN=64 TC=0 HOPLIMIT=238 FLOWLBL=0 PROTO=TCP SPT=36252 DPT=443 WINDOW=29200 RES=0x00 SYN URGP=0

Ik ben blijkbaar wel bereikbaar

[ Voor 23% gewijzigd door Ankh op 25-10-2021 20:21 ]

[stormfly]

Ankh schreef op maandag 25 oktober 2021 @ 20:19:
@stormfly
Vandaag nog maar even verder op onderzoek gegaan in mijn wireshark captures.
Hetgeen mij is opgevallen is dat in alle draytek ICMPv6 en DHCPv6 captures, mijn PPPOE verbinding zichtbaar is:
[Afbeelding]
Bij de EdgeOS:
[Afbeelding]

Mijn vermoeden is toch echt dat EdgeOS (en OpenWRT) zijn IPv6 verkeer buiten de PPPOE sessie om aanvraagt.

[edit]
Om het nog wat raarder te maken (was even bezig met de firewall):

code:

[510843.200879] [WANv6_IN-default-D]IN=pppoe0 OUT=pppoe0 MAC= SRC=240e:00f7:4f01:000c:0000:0000:0000:0003 DST=<mijn ipv6>:0000:0000:0000:dff3 LEN=64 TC=0 HOPLIMIT=238 FLOWLBL=0 PROTO=TCP SPT=60462 DPT=80 WINDOW=29200 RES=0x00 SYN URGP=0
[510844.442288] [WANv6_IN-default-D]IN=pppoe0 OUT=pppoe0 MAC= SRC=240e:00f7:4f01:000c:0000:0000:0000:0003 DST=<mijn ipv6>:0000:0000:0000:c32b LEN=64 TC=0 HOPLIMIT=238 FLOWLBL=0 PROTO=TCP SPT=36252 DPT=443 WINDOW=29200 RES=0x00 SYN URGP=0

Ik ben blijkbaar wel bereikbaar

De EdgeOS capture laat net niet de relevante velden zien, maar op basis van wat er zichtbaar is deel ik je mening. Dan moet je daar op gaan focussen, kan je nog 1x je volledige config delen?

https://bgp.he.net/ip/240...:000c:0000:0000:0000:0003
ChinaTelecom klopte aan je IPv6 voordeur, wat zag je toen met show IPv6 routes en het show interfaces commando? Als je spreekt over " mijn IPv6 adres " dan moet dat een 2xxx adres zijn, geen FE80 van vorige week?