KPN Glasvezel IPV6 met een Fortigate 60D

[marijn_tw]

Hallo,

Ik heb mijn experiabox vervangen door een Fortigate 60D, Nu heb ik ipv4 direct aan de gang gekregen, maar krijg het niet voor elkaar om ipv6 werkend te krijgen.

Er lijkt toch wel wat informatie binnen te komen aangezien ik wel ipv6 addressen toegewezen krijg aan de hosts in het interne netwerk, echter krijg ik geen "extern" ipv6 adres op de wan kant van de fortinet, wel krijg ik het link-local adres.


hieronder de config van de wan interface van de fortigate.

edit "wan1"
set vdom "root"
set mode pppoe
set allowaccess ping
set vlanforward enable
set type physical
set spillover-threshold 12500
set estimated-upstream-bandwidth 100000
set estimated-downstream-bandwidth 100000
set role wan
set snmp-index 2
config ipv6
set ip6-mode pppoe
set ip6-allowaccess ping
set dhcp6-prefix-delegation enable
set dhcp6-prefix-hint ::/48
set autoconf enable
end
set username "xxx@direct-adsl"
set password ENC
next
end

De fortigate is aangesloten op een switch die vlan 6 untagged doorgeeft naar de poort wan1.

Zie ik een instelling over het hoofd?

[Herby]

Ik haal ff niet uit je post of het op de Experia wel werkte, dus ws een domme check, maar wat zegt http://ipv6test.google.com ?

[marijn_tw]

Ja, Op de experiabox werkte het wel
Het vreemde is dat ik ook dezelfde ipv6 adressen toegewezen op de hosts in het interne netwerk, als ik kreeg met de experiabox.

Via de ipv6 test komt er uit "U heeft geen IPv6, maar u mag geen problemen ondervinden op websites die IPv6-ondersteuning bieden."

[ik222]

Kan je vanaf de fortigate CLI wel IPv6 adressen pingen? Hoe ziet de configuratie van de LAN kant eruit? En welke policies heb je voor IPv6 aangemaakt?

[marijn_tw]

Heb de config zoveel mogelijk overgenomen van https://blah.cloud/networ...hcpv6-pd-pppoe-fortigate/

Ik kan vanaf de forticli wel pingen naar de interne 2a02:xxxxx adressen, niet naar adressen buiten mijn eigen netwerk.


Hieronder de config zoals hij in de forticli staat:

FGT60D4614018475 # diagnose ipv6 address list
dev=56 devname=ppp1 flag=P scope=253 prefix=10 addr=fe80::a5b:e6f:fffe:387c
dev=23 devname=vsys_fgfm flag=P scope=254 prefix=128 addr=::1
dev=21 devname=vsys_ha flag=P scope=254 prefix=128 addr=::1
dev=16 devname=root flag=P scope=254 prefix=128 addr=::1
dev=5 devname=wan1 flag=P scope=253 prefix=10 addr=fe80::a5b:eff:fe6f:387c
dev=7 devname=internal1 flag=P scope=253 prefix=10 addr=fe80::a5b:eff:fe6f:387a
dev=7 devname=internal1 flag= scope=0 prefix=64 addr=2a02:XXXX:XXXX::1 preferred=164723 valid=251123


Lan config:

edit "internal1"
set vdom "root"
set ip 10.9.28.1 255.255.255.0
set allowaccess ping https ssh snmp http telnet fgfm radius-acct capwap
set vlanforward enable
set type physical
set alias "Local Lan"
set device-identification enable
set device-identification-active-scan enable
set role lan
set snmp-index 1
config ipv6
set ip6-mode delegated
set ip6-allowaccess ping https ssh snmp
set ip6-send-adv enable
set ip6-manage-flag enable disable
set ip6-upstream-interface "wan1"
set ip6-subnet ::1/64
config ip6-delegated-prefix-list
edit 1
set upstream-interface "wan1"
set autonomous-flag enable
set onlink-flag enable
set subnet ::/64
next
end
end
next
end

De dhcp6 server:
config system dhcp6 server
edit 1
set interface "internal1"
set upstream-interface "wan1"
set ip-mode delegated
set dns-server1 2001:4860:4860::8888
set dns-server2 2001:4860:4860::8844
next
end

De policies:

config firewall policy6
edit 1
set name "Default out"
set uuid 113d6d60-2089-51e8-8f23-04ae3c89a6f1
set srcintf "internal1"
set dstintf "wan1"
set srcaddr "all"
set dstaddr "all"
set action accept
set schedule "always"
set service "ALL"
set logtraffic all
next
edit 2
set name "Allow ICMP in"
set uuid 11852786-2089-51e8-28cc-df82a34d651a
set srcintf "wan1"
set dstintf "internal1"
set srcaddr "all"
set dstaddr "all"
set action accept
set schedule "always"
set service "ALL_ICMP6"
set logtraffic all
next
end

[ChaserBoZ_]

Ik zie policies etc, maar heb je ook een nulroute voor IPv6 ?

[marijn_tw]

Weet zo snel niet hoe ik die routes uit de cli kan halen, maar in de web-interface staat :

Destination: Gateway: Interface
::/0 :: Internal1
::/0 :: Wan1

[marijn_tw]

Ben druk bezig om IPV6 te begrijpen, maar het valt me wat zwaarder als IPV4.

Maar volgens mij krijgen nu mijn host machines, die ipv6 adressen van kpn toch?

[ik222]

Ja en nee, KPN geeft jou een /48 maar je moet zelf ervoor zorgen dat clients een adres binnen dat blok krijgen. Dat doet je fortigate door SLAAC mogelijk te maken (router advertisements) en / of door DHCPv6. Maar het feit dat clients een goed publiek IPv6 adres hebben betekent dus wel dat je router de /48 van KPN krijgt.

Waar het fout lijkt te gaan is in de routering. Er staat namelijk weliswaar de goede ::/0 route in via WAN1 maar ook een foute via LAN1, die komt nergens uit.

[marijn_tw]

ik heb hem op de lan kant verwijdert, Helaas komt er zowel van de hosts als vanuit de forticli geen ping naar buiten.

dns functioneert wel,

FGT60D4614018475 # execute ping6 ipv6.google.com
PING ipv6.google.com(2607:f8b0:400a:808::200e) 56 data bytes

--- ipv6.google.com ping statistics ---
5 packets transmitted, 0 packets received, 100% packet loss, time 10014ms.

Is het normaal dat de wan1 poort alleen een link-local adres krijgt en geen "public" ipv6 adres?

[Thralas]

marijn_tw schreef op maandag 5 maart 2018 @ 16:49:
set ip6-mode pppoe

Zie ik een instelling over het hoofd?

Ja. Je moet IPv6 niet op PPPoE-niveau regelen, maar met een DHCPv6 client binnen de bestaande PPPoE-sessie over v4. Als dat statement doet wat het suggereert, dan zou dat inderdaad niet moeten werken.

Doet me overigens wel afvragen hoe je aan dit komt:

set dns-server1 2001:4860:4860::8888
set dns-server2 2001:4860:4860::8844

[marijn_tw]

Thralas schreef op maandag 5 maart 2018 @ 19:50:
[...]


Ja. Je moet IPv6 niet op PPPoE-niveau regelen, maar met een DHCPv6 client binnen de bestaande PPPoE-sessie over v4. Als dat statement doet wat het suggereert, dan zou dat inderdaad niet moeten werken.

Heb beide geprobeerd, als ik de set-ip-mode op dhcp zet krijg ik helaas ook geen adres binnen, en krijgen mijn hosts ook geen "extern" ipv6 adres meer.

Kon in de documentatie niet vinden wat het verschil is tussen dhcp en pppoe aangezien ik het al op de pppoe interface configureer.

Gaat bij de dhcp setting het dhcp request "om" de pppoe tunnel heen, of door de pppoe tunnel naar kpn,
en bij pppoe, probeert hij een apparte pppoe tunnel op te zetten of betekend dit juist dat hij de dhcp request door de tunnel heen stuurt.

Doet me overigens wel afvragen hoe je aan dit komt:


[...]

Veel googlen kwam er zelf niet uit en volgens de onderstaande link kregen mijn host systemen wel een extern ipv6 adres. en aangezien dit stuk volgens mij alleen de dns servers toevoegd, zag ik hier geen kwaad in. (kan natuurlijk volledig de plank misslaan maar toch)

https://blah.cloud/networ...hcpv6-pd-pppoe-fortigate/

[Thralas]

marijn_tw schreef op maandag 5 maart 2018 @ 20:02:
Kon in de documentatie niet vinden wat het verschil is tussen dhcp en pppoe aangezien ik het al op de pppoe interface configureer.

Ja, PPPoE in PPPoE lijkt me wat vreemd.

Gaat bij de dhcp setting het dhcp request "om" de pppoe tunnel heen, of door de pppoe tunnel naar kpn,
en bij pppoe, probeert hij een apparte pppoe tunnel op te zetten of betekend dit juist dat hij de dhcp request door de tunnel heen stuurt.

Logischerwijs zou je zeggen dat 'pppoe' ofwel een aparte sessie, ofwel betekent dat hij als onderdeel van de reguliere PPPoE setup om een v6 address vraagt. Maar daar doet KPN niet aan..

Veel googlen kwam er zelf niet uit en volgens de onderstaande link kregen mijn host systemen wel een extern ipv6 adres. en aangezien dit stuk volgens mij alleen de dns servers toevoegd, zag ik hier geen kwaad in. (kan natuurlijk volledig de plank misslaan maar toch)

Mja, die zou je gewoon via DHCPv6 moeten krigen. En voor wat betreft dat adres lijkt er inderdaad toch wel wat assigned op je router.

Dan zou ik eerst even proberen te pingen naar een v6-adres vanaf de router zelf.

[marijn_tw]

[b][message=54490139,noline]
Dan zou ik eerst even proberen te pingen naar een v6-adres vanaf de router zelf.

Vanaf de router krijg ik helaas ook 100% packet los.

(ip6 mode op pppoe)

execute ping6 ipv6.google.com
PING ipv6.google.com(2607:f8b0:400a:800::200e) 56 data bytes

--- ipv6.google.com ping statistics ---
5 packets transmitted, 0 packets received, 100% packet loss, time 10014ms

Zal hem even omzetten naar dhcp, en dan nogmaals proberen.

[marijn_tw]

Met deze config:

_{config system interface
edit "wan1"
set vdom "root"
set mode pppoe
set allowaccess ping
set vlanforward enable
set type physical
set spillover-threshold 12500
set estimated-upstream-bandwidth 100000
set estimated-downstream-bandwidth 100000
set role wan
set snmp-index 2
config ipv6
set ip6-mode dhcp
set ip6-allowaccess ping
set dhcp6-prefix-delegation enable
set dhcp6-prefix-hint ::/48
end
set username "xx@direct-adsl"
set password ENC
next
end}

heb ik de volgende ipv6 addressen op de fortigate, en geen ipv6 adressen meer op de hosts


_{diagnose ipv6 address list
dev=23 devname=vsys_fgfm flag=P scope=254 prefix=128 addr=::1
dev=21 devname=vsys_ha flag=P scope=254 prefix=128 addr=::1
dev=16 devname=root flag=P scope=254 prefix=128 addr=::1
dev=5 devname=wan1 flag=P scope=253 prefix=10 addr=fe80::a5b:eff:fe6f:387c
dev=7 devname=internal1 flag=P scope=253 prefix=10 addr=fe80::a5b:eff:fe6f:387a}

[jimmy87]

Ik weet dat ik een heel oud topic kick maar ik heb exact hetzelfde probleem om IPv6 opgezet te krijgen op mijn Fortigate 60E met exact dezelfde config als de OP.

config ipv6
set ip6-mode pppoe
set ip6-allowaccess ping
set dhcp6-prefix-delegation enable
set dhcp6-prefix-hint ::/48
set autoconf enable

Daarmee krijgen mijn hosts wel een IPv6 adres, maar de fortigate niet dus ze hebben geen gateway.
Ik heb de OP ook een prive berichtje gestuurd sinds ik in een ander topic van hem zie dat het hem wel gelukt is maar gezien die alleen maar hier te lijkt te zijn geweest voor dit probleem verwacht ik daar geen snelle reactie van.

Iemand anders misschien die hetzelfde heeft opgezet onder KPN glasvezel?

[pizzaking1972]

jimmy87 schreef op zaterdag 6 juli 2019 @ 18:15:
Ik weet dat ik een heel oud topic kick maar ik heb exact hetzelfde probleem om IPv6 opgezet te krijgen op mijn Fortigate 60E met exact dezelfde config als de OP.

config ipv6
set ip6-mode pppoe
set ip6-allowaccess ping
set dhcp6-prefix-delegation enable
set dhcp6-prefix-hint ::/48
set autoconf enable

Daarmee krijgen mijn hosts wel een IPv6 adres, maar de fortigate niet dus ze hebben geen gateway.
Ik heb de OP ook een prive berichtje gestuurd sinds ik in een ander topic van hem zie dat het hem wel gelukt is maar gezien die alleen maar hier te lijkt te zijn geweest voor dit probleem verwacht ik daar geen snelle reactie van.

Iemand anders misschien die hetzelfde heeft opgezet onder KPN glasvezel?

Beter laat dan nooit maar ik heb de moet opgegeven krijg het niet aan de praat met KPN en Fortigate.

[pizzaking1972]

Ok het is mij inmiddels gelukt.
Ik heb mijn 60E direct aan het NTU hangen van KPN en IPV6 werkt nu na behoren.
Ik kwam de volgende website tegen waar men aangeeft dat je een virtueel interface moet aanmaken.
https://support.aa.net.uk/Fortigate_IPv6

Hier de voor mij werkende config:

config system interface
edit "wan1"
set vdom "root"
set allowaccess ping https http
set type physical
set role wan
set snmp-index 1
set mtu-override enable
set mtu 1508
next
edit "wan2"
set vdom "root"
set mode dhcp
set distance 10
set allowaccess ping
set status down
set type physical
set role wan
set snmp-index 2
next
edit "dmz"
set vdom "root"
set ip 192.168.1.1 255.255.255.0
set allowaccess ping https http
set type physical
set role lan
set snmp-index 3
next
edit "modem"
set vdom "root"
set mode pppoe
set type physical
set snmp-index 4
next
edit "ssl.root"
set vdom "root"
set type tunnel
set alias "SSL VPN interface"
set snmp-index 5
next
edit "internal"
set vdom "root"
set ip 192.168.0.254 255.255.255.0
set allowaccess ping https ssh http
set type hard-switch
set explicit-web-proxy enable
set stp enable
set device-identification enable
set lldp-reception enable
set lldp-transmission enable
set role lan
set snmp-index 6
config ipv6
set ip6-mode delegated
set ip6-allowaccess ping
set dhcp6-prefix-delegation enable
set ip6-send-adv enable
set ip6-manage-flag enable
set ip6-other-flag enable
set ip6-link-mtu 1472
set ip6-upstream-interface "pppoe1"
set ip6-subnet ::254/64
config ip6-delegated-prefix-list
edit 1
set upstream-interface "pppoe1"
set subnet ::/64
next
end
end
set mtu-override enable
next
edit "Vlan6-Internet"
set vdom "root"
set mode pppoe
set allowaccess https
set estimated-upstream-bandwidth 204800
set estimated-downstream-bandwidth 204800
set role wan
set snmp-index 7
config ipv6
end
set username "XX-XX-XX-XX-XX-XX@internet"
set password ENC XXXXXXXXXXXXXXXXXX
set dns-server-override disable
set mtu-override enable
set interface "wan1"
set vlanid 6
next
edit "pppoe1"
set vdom "root"
set mode pppoe
set type tunnel
set snmp-index 8
config ipv6
set ip6-mode dhcp
set dhcp6-prefix-delegation enable
end
set interface "Vlan6-Internet"
next
end
config system dhcp6 server
edit 1
set rapid-commit enable
set dns-service default
set subnet ::/64
set interface "internal"
set upstream-interface "pppoe1"
set ip-mode delegated
next
end
config router static6
edit 1
set device "pppoe1"
next
end

[Downloader4Life]

Hoi Pizzaking,

Bedankt voor je interface config. Is dit op KPN thuis abo of een zakelijk?

Als het thuis is, hoe heb je de IPTV geregeld?

Thanks

[Jeroen_ae92]

Downloader4Life schreef op woensdag 4 december 2019 @ 13:55:
Hoi Pizzaking,

Bedankt voor je interface config. Is dit op KPN thuis abo of een zakelijk?

Als het thuis is, hoe heb je de IPTV geregeld?

Thanks

Onderstaand werkt voor mij. Option 121 lijkt het nog niet te doen vandaar die statische routering erbij.

code:

config system interface 
    edit "WAN-VLAN4"
        set vdom "root"
        set mode dhcp
        config client-options
            edit 1
                set code 60
                set type string
                set value "IPTV_RG"
            next
            edit 2
                set code 121
                set type string
                set value "classless-static-routes"
            next
        end
        set alias "KPN IPTV VLAN"
        set device-identification enable
        set role lan
        set snmp-index 8
        set dns-server-override disable
        set interface "wan1"
        set vlanid 4
    next
 end
 config router static
     edit 1
        set dst 213.75.112.0 255.255.248.0
        set distance 1
        set device "WAN-VLAN4"
        set dynamic-gateway enable
    next
end
config firewall multicast-policy
    edit 1
        set name "Upstream IPTV"
        set logtraffic enable
        set srcintf "WAN-VLAN4"
        set dstintf "internal"
        set srcaddr "all"
        set dstaddr "all"
        set snat enable
    next
    edit 2
        set name "Downstream IPTV"
        set logtraffic enable
        set srcintf "internal"
        set dstintf "WAN-VLAN4"
        set srcaddr "all"
        set dstaddr "all"
        set snat enable
    next
end
config firewall address
    edit "G-IPTV-213.75.112.0/21"
        set subnet 213.75.112.0 255.255.248.0
    next
end
config firewall policy
    edit 59
        set name "IPTV"
        set srcintf "Internal"
        set dstintf "WAN-VLAN4"
        set srcaddr "all"
        set dstaddr "G-IPTV-213.75.112.0/21"
        set action accept
        set schedule "always"
        set service "ALL"
        set nat enable
    next
end

[Alamoos]

Ha Jeroen,

N.a.v. van je update heb ik mijn fortigate ook weer eens uit de kast getrokken om te kijken of ik het hier ook werkend krijg.

Via je config krijg ik wel beeld alleen alles "bevriest" na een aantal seconden. Ik vermoed dat er iets niet helemaal goed gaat met de IGMP proxy op de Fortigate maar mijn kennis reikt niet vergenoeg om het probleem boven tafel te krijgen. Nog ideëen waar dit aan zou kunnen liggen?

Hier is de KPN reciever direct aangesloten op een los poortje (interface7) op de Fortigate.

[Downloader4Life]

Alamoos schreef op woensdag 14 oktober 2020 @ 10:38:
Ha Jeroen,

N.a.v. van je update heb ik mijn fortigate ook weer eens uit de kast getrokken om te kijken of ik het hier ook werkend krijg.

Via je config krijg ik wel beeld alleen alles "bevriest" na een aantal seconden. Ik vermoed dat er iets niet helemaal goed gaat met de IGMP proxy op de Fortigate maar mijn kennis reikt niet vergenoeg om het probleem boven tafel te krijgen. Nog ideëen waar dit aan zou kunnen liggen?

Hier is de KPN reciever direct aangesloten op een los poortje (interface7) op de Fortigate.

Hi Alamoos,

Ik had hetzelfde maar ik kwam op een forum van KPN het volgende tegen dat het probleem met hangend beeld verhielp.

config system settings
set multicast-forward enable
set multicast-ttl-notchange enable
end

Zie ook:
https://forum.kpn.com/thu...f-met-iptv-options-499669

[Downloader4Life]

Op dit moment toch nog een probleem ontdekt met de TV. Pauze werkt niet meer.

Als je je TV op pauze zet en daarna weer op play zegt hij dat de zender niet meer reageert en dan moet je switchen tussen zender en terug en dan doet hij het weer.

[Jeroen_ae92]

Dat had ik destijds ook maar geen tijd om het verder te onderzoeken. Ik heb toen een Edgerouter X gebruikt als IGMP Proxy. Dat werkte prima... Maarja, ergens kan ik het niet loslaten. Dus alles weer op de fortigate gezet. Issue met pauze heb ik ook, het beeld komt niet terug enkel een melding met zap naar ander kanaal. Uitzending gemist doet het helemaal niet. Als ik updates heb, dan plaats ik ze wel.

[P88K]

Hier precies hetzelfde. Pauzeren en terugspoelen werkt niet met de FG60E ertussen,
Verder config van Jeroen gebruikt. Ben benieuwd wat de oplossing is.

[ik222]

Voor de mensen met problemen met pauzeren, begin gemist, opnames e.d., probeer eens om de RTSP helper op de Fortigate uit te schakelen. Uitleg hoe dat moet staat hier https://kb.fortinet.com/k...ink.do?externalID=FD45735

Wellicht gaat daarmee namelijk iets mis, nodig is hij bij KPN ITV in elk geval niet omdat dat platform STUN gebruikt.

[ Voor 29% gewijzigd door ik222 op 17-12-2020 19:48 ]

[P88K]

Dit werkt bij mij!! Thanks voor de tip!!

[Downloader4Life]

Hierbij nog een bevestiging dat het werkt, geweldig!

Nu echt dat experiahok niet meer nodig.

[ Voor 20% gewijzigd door Downloader4Life op 18-12-2020 21:30 ]

[ik222]

Mooi, goed om te horen dat dit inderdaad de oplossing is

Ik heb zelf privé namelijk geen Fortigate (ik gebruik thuis pfSense) dus ik kon het zelf niet testen. Maar ik ken Fortigates vrij goed uit mijn werk en die helpers zorgen wel vaker voor problemen.

[pretendor]

ik heb dit topic gevolgd.

behalve op het IP6 verhaal (ik haat IP6) maar los daarvan. mijn glas heeft nog geen ip6 volgens KPN..????

however mijn opnemen stukje werkt voor geen meter.
ik krijg continu melding AVS-TO-0001
dit heeft kennelijk te maken met een timeout probleem.....

enig idee ??

[rhassing]

Ik lees nergens dat iemand ook iets met telefonie gedaan heeft.
Er hangt nu een fritzbox achter de Fortigate 60E hangen als DECT/SIP station.

Ik heb poort 5060 (zowel udp als tcp) met een Virtual IP naar binnen toe toegelaten.
Uitbellen gaat wel goed, maar ik kan geen telfoontjes ontvangen.

[ik222]

rhassing schreef op zaterdag 29 mei 2021 @ 16:47:
Ik lees nergens dat iemand ook iets met telefonie gedaan heeft.
Er hangt nu een fritzbox achter de Fortigate 60E hangen als DECT/SIP station.

Ik heb poort 5060 (zowel udp als tcp) met een Virtual IP naar binnen toe toegelaten.
Uitbellen gaat wel goed, maar ik kan geen telfoontjes ontvangen.

Welke VoIP provider gaat dit om?

Want voor de meeste VoIP aanbieders waarbij je gewoon registreert met een SIP user heb je helemaal geen port forwardings nodig en moet je in het geval van een Fortigate vooral ook de SIP helper uitschakelen.

[rhassing]

ik222 schreef op zaterdag 29 mei 2021 @ 16:54:
[...]

Welke VoIP provider gaat dit om?

Want voor de meeste VoIP aanbieders waarbij je gewoon registreert met een SIP user heb je helemaal geen port forwardings nodig en moet je in het geval van een Fortigate vooral ook de SIP helper uitschakelen.

Ik neem de voip diensten af bij XS4ALL.

[ik222]

rhassing schreef op zondag 30 mei 2021 @ 09:03:
[...]


Ik neem de voip diensten af bij XS4ALL.

Dan moet je dus inderdaad de SIP helper op de fortigate uitschakelen en de port forwardings verwijderen, dan moet het zonder problemen werken.

[rhassing]

Ik heb de volgende commando's gebruikt:
Is dat voldoende?

FG-firewall # config system session-helper

FG-firewall (session-helper) # show
config system session-helper
---
edit 13
set name sip
set protocol 17
set port 5060
next
---
FG-firewall (session-helper) # delete 13

FG-firewall (session-helper) # end

FG-firewall # config system settings

FG-firewall (settings) # show full-configuration
config system settings
---
set default-voip-alg-mode proxy-based
---

FG-firewall (settings) # set default-voip-alg-mode kernel-helper-based

FG-firewall (settings) # end

FG-firewall # config voip profile

FG-firewall (profile) # edit default

FG-firewall (default) # config sip

FG-firewall (sip) # set status disable

FG-firewall (sip) # end

FG-firewall (default) # end

FG-firewall # config firewall service custom

FG-firewall (custom) # edit Helper-disable
new entry 'Helper-disable' added

FG-firewall (Helper-disable) # set udp-portrange 5060

FG-firewall (Helper-disable) # set helper disable

FG-firewall (Helper-disable) # end

FG-firewall #


Het lijkt nog niet direct te werken, of zou ik dan de firewall moeten rebooten?

[ik222]

Dat lijkt me goed, volgens mij moet je inderdaad wel de FG rebooten.

En ook je Fritzbox daarna even rebooten, er moet namelijk een nieuwe registratie plaatsvinden zodat het platform herkent dat je achter NAT zit.

[ Voor 51% gewijzigd door ik222 op 30-05-2021 10:03 ]

[Downloader4Life]

Ik gebruik altijd de handleiding van 3CX icm Fortigate bij klanten en heeft me met voip nooit in de steek gelaten. Als je daarop googled krijg je een stappenplan.

[rhassing]

ik222 schreef op zondag 30 mei 2021 @ 10:02:
Dat lijkt me goed, volgens mij moet je inderdaad wel de FG rebooten.

En ook je Fritzbox daarna even rebooten, er moet namelijk een nieuwe registratie plaatsvinden zodat het platform herkent dat je achter NAT zit.

Na de reboot werkte alles inderdaad zoals verwacht. Dank je.

[martinvdm]

Een oud topic, maar helaas krijg ik het niet werkend. Iemand die een juiste FortiOS7 config kan delen met een werkende ipv6 met kpn glasvezel? Thanks

[RnB]

@martinvdm Het was voor mij ook even zoeken sinds ik over ben op v7.0.9 vanaf v6.4.10, maar het is gelukt.

Het belangrijkste verschil met de config in de v6.4 train is de ip6-delegated-prefix-iaid. Zonder die line gebeurd er vrij weinig.

De config op mijn pppoe interface ziet er als volgt uit:

code:

config ipv6
    set ip6-mode dhcp
    set ip6-allowaccess ping
    set dhcp6-prefix-delegation enable
    config dhcp6-iapd-list
        edit 32 <---- Dit nummer heeft de Forti zelf ingevuld, kan deze ook niet verwijderen. Dit gebruik ik later aan        de LAN-zijde. Dit nummer kan bij jou dus anders zijn, let hier op. 
            set prefix-hint ::/56
    next
end

De config op mijn LAN interfaces zien er als volgt uit:

code:

config ipv6
    set ip6-mode delegated
    set ip6-allowaccess ping
    set ip6-delegated-prefix-iaid 32 <---- Deze line is dus nieuw
    set ip6-send-adv enable
    set ip6-other-flag enable
    set ip6-upstream-interface "pppoe0"
    set ip6-subnet ::10:1/64
    config ip6-delegated-prefix-list
        edit 1
            set upstream-interface "pppoe0"
            set delegated-prefix-iaid 32 <---- Deze line is dus nieuw
            set subnet 0:0:0:10::/64
            set rdnss xxx:xxxx:xxxx:xxxx::10:1
         next
      end
end

Hopelijk heb je hier wat aan.

[martinvdm]

RnB schreef op vrijdag 16 december 2022 @ 15:14:
@martinvdm Het was voor mij ook even zoeken sinds ik over ben op v7.0.9 vanaf v6.4.10, maar het is gelukt.

Het belangrijkste verschil met de config in de v6.4 train is de ip6-delegated-prefix-iaid. Zonder die line gebeurd er vrij weinig.

De config op mijn pppoe interface ziet er als volgt uit:

code:

config ipv6
    set ip6-mode dhcp
    set ip6-allowaccess ping
    set dhcp6-prefix-delegation enable
    config dhcp6-iapd-list
        edit 32 <---- Dit nummer heeft de Forti zelf ingevuld, kan deze ook niet verwijderen. Dit gebruik ik later aan        de LAN-zijde. Dit nummer kan bij jou dus anders zijn, let hier op. 
            set prefix-hint ::/56
    next
end

De config op mijn LAN interfaces zien er als volgt uit:

code:

config ipv6
    set ip6-mode delegated
    set ip6-allowaccess ping
    set ip6-delegated-prefix-iaid 32 <---- Deze line is dus nieuw
    set ip6-send-adv enable
    set ip6-other-flag enable
    set ip6-upstream-interface "pppoe0"
    set ip6-subnet ::10:1/64
    config ip6-delegated-prefix-list
        edit 1
            set upstream-interface "pppoe0"
            set delegated-prefix-iaid 32 <---- Deze line is dus nieuw
            set subnet 0:0:0:10::/64
            set rdnss xxx:xxxx:xxxx:xxxx::10:1
         next
      end
end

Hopelijk heb je hier wat aan.

Het is inmiddels gelukt thanks! Voornaamste is dat er echt een aparte pppoe interface nodig is. Configuratie van pppoe user/pass op het vlan werkt niet vreemd genoeg. Maar idd het is gelukt

[Downloader4Life]

Hi @RnB ,

Zou je de volledige configs van je wan1 en ppoe interfaces kunnen posten? Ik heb nu 7.0.8 maar op de ppoe interface kan ik niet "set type tunnel" zetten zoals ik in 6.4 wel had.

Thanks alvast.

RnB schreef op vrijdag 16 december 2022 @ 15:14:
@martinvdm Het was voor mij ook even zoeken sinds ik over ben op v7.0.9 vanaf v6.4.10, maar het is gelukt.

Het belangrijkste verschil met de config in de v6.4 train is de ip6-delegated-prefix-iaid. Zonder die line gebeurd er vrij weinig.

De config op mijn pppoe interface ziet er als volgt uit:

code:

config ipv6
    set ip6-mode dhcp
    set ip6-allowaccess ping
    set dhcp6-prefix-delegation enable
    config dhcp6-iapd-list
        edit 32 <---- Dit nummer heeft de Forti zelf ingevuld, kan deze ook niet verwijderen. Dit gebruik ik later aan        de LAN-zijde. Dit nummer kan bij jou dus anders zijn, let hier op. 
            set prefix-hint ::/56
    next
end

De config op mijn LAN interfaces zien er als volgt uit:

code:

config ipv6
    set ip6-mode delegated
    set ip6-allowaccess ping
    set ip6-delegated-prefix-iaid 32 <---- Deze line is dus nieuw
    set ip6-send-adv enable
    set ip6-other-flag enable
    set ip6-upstream-interface "pppoe0"
    set ip6-subnet ::10:1/64
    config ip6-delegated-prefix-list
        edit 1
            set upstream-interface "pppoe0"
            set delegated-prefix-iaid 32 <---- Deze line is dus nieuw
            set subnet 0:0:0:10::/64
            set rdnss xxx:xxxx:xxxx:xxxx::10:1
         next
      end
end

Hopelijk heb je hier wat aan.

[RnB]

Ja hoor, zie hier:
Ik heb ze ook even op volgorde van aanmaak gedaan.

code:

config system interface
    edit "wan2"
        set vdom "root"
        set mode dhcp
        set type physical
        set monitor-bandwidth enable
        set role wan
        set snmp-index 2
        set mtu-override enable
        set mtu 1514
    next
    edit "KPN Fiber"
        set vdom "root"
        set fail-detect enable
        set description "Internet"
        set alias "wan2.6"
        set device-identification enable
        set estimated-upstream-bandwidth 1000000
        set estimated-downstream-bandwidth 1000000
        set monitor-bandwidth enable
        set role wan
        set snmp-index 24
        set preserve-session-route enable
        set mtu-override enable
        set mtu 1506
        set interface "wan2"
        set vlanid 6
    next
end

code:

config system pppoe-interface
    edit "pppoe0"
        set ipv6 enable
        set device "KPN Fiber"
        set username "internet"
        set password ENC Ev9P4Jiis4PX4oX13tuMg0rzk1LwRFlFnd2eY5nRRk6ucSepsBRh3exxBScCnMfsHrsVwAnMJGQVjdhCNXU4BiyX3XpmtkIdbGRjI+yCkTcqjdtOWcKJOI8f0IrLhGWVUNaX3bqQY6B7yfyYgMm0QuM0eBozmqhGcLTh1fwbfhmZYkZTxRmHG74O/HrLnW7V+MxyJw==
    next
end

code:

    edit "pppoe0"
        set vdom "root"
        set mode pppoe
        set type tunnel
        set monitor-bandwidth enable
        set role wan
        set snmp-index 25
        config ipv6
            set ip6-mode dhcp
            set ip6-allowaccess ping
            set dhcp6-prefix-delegation enable
            config dhcp6-iapd-list
                edit 32
                    set prefix-hint ::/56
                next
            end
        end
        set interface "KPN Fiber"
    next
end

[ Voor 67% gewijzigd door RnB op 23-12-2022 13:49 ]

[Downloader4Life]

Thanks, ik ga ermee hobbyen.

[DinkyToys]

Dank voor de nodige informatie omtrent IPv6 op een Fortigate. Krijg het werkend tot onderstaande:
1. ping6 ipv6.google.com in CLI Fortigate
2. dhcp lease op de client
3. resolve van ping6 ipv6.google.com

Maar een ping6 van icmp pakketjes komen niet binnen. Wel de ipv4 versie.
Klopt de router ipv6 wel? fe80::96f3:92ff:febe:f34a