[Docker + IPv6] Adguard docker werkt niet

[Operations]

Ik probeer IPv6 toe te voegen aan mijn docker server die op debian 12 draait. Ik heb mijn IPv6 subnet (van ISP) aangepast naar iets wat niet bestaat.

Heb dit gedaan:
https://docs.docker.com/config/daemon/ipv6/

Dus dit toegevoegd aan /etc/docker/daemon.json

{
“experimental”: true,
“ip6tables”: true
}

Toen deze:

docker network create --ipv6 --subnet 2c07:b663::/112 ipv6net

Daarna reboot gedaan, ik zie het netwerk en IPv6 subnet via portainer ook staan. Maar adguard gebruikt het niet.

Docker-compose file:

code:

Version: “2”

services:

adguardhome:

image: adguard/adguardhome

container_name: adguardhome

restart: unless-stopped

volumes:

./config:/opt/adguardhome/work

./config:/opt/adguardhome/conf

/home/nick/NPM/letsencrypt:/opt/adguardhome/ssl

ports:

172.16.20.245:53:53/udp

53:53/tcp

784:784/udp

853:853/tcp

3333:3000/tcp

99:80/tcp

459:443/tcp

networks:

ipv6net:

enable_ipv6: true

ipam:

config:

subnet:2c07:b663:99::/112

Iemand een idee wat ik niet goed gedaan heb?

[Hero of Time]

Ik kom https://aschmid-it.com/en/adguard-home-on-docker-with-ipv6/ tegen als guide voor adguard met ipv6. Heb je een guide gevolgd en welke?

[Operations]

Hero of Time schreef op donderdag 15 februari 2024 @ 22:12:
Ik kom https://aschmid-it.com/en/adguard-home-on-docker-with-ipv6/ tegen als guide voor adguard met ipv6. Heb je een guide gevolgd en welke?

Ja deze:

https://docs.docker.com/config/daemon/ipv6/

Is niet specifiek voor adguard. Maar meer algemeen IPv6 aan docker toevoegen.

[Operations]

Operations schreef op donderdag 15 februari 2024 @ 22:14:
[...]


Ja deze:

https://docs.docker.com/config/daemon/ipv6/

Is niet specifiek voor adguard. Maar meer algemeen IPv6 aan docker toevoegen.

Die guide waar jij mee komt, kan ik proberen. Alleen wil ik eigenlijk dat docker zelfs de IPs regelt. Dat heb ik bij mijn andere dockers ook

In dat voorbeeld is adguard dan wel te benaderen vanaf hele netwerk op eigen IP adres? Dat macvlan zegt mij niet zoveel. Ben nog wat newbie mbt docker.

[ Voor 15% gewijzigd door Operations op 15-02-2024 22:22 ]

[Hero of Time]

De guide toont een docker compose file met een IPv6 adres erin. Volgens die persoon werkt dat prima. Pas het aan naar jouw situatie en zie hoe dat gaat. Die van hem ziet er namelijk wat anders uit dan de jouwe (naast een veel betere opmaak).

[deHakkelaar]

Operations schreef op donderdag 15 februari 2024 @ 21:45:
docker network create --ipv6 --subnet 2c07:b663::/112 ipv6net

Ik ben niet zo handig met Docker en heb geen ervaring met Adguard maar ...
boven is een GUA prefix (Global Unicast) die afhankelijk is van wat je ISP adverteert via IPv6 RA (Router Advertisement).
Deze prefixes veranderen ook regelmatig waardoor je deze addressen niet kunt gebruiken zoals je met statische IPv4 adressen gewend bent.
Voorkeur heeft om ULA addressen/prefixes (Unique Local) te gebruiken/configureren welke niet verandert:
https://www.oreilly.com/l...a/9780134670584/ch05.html

Je router moet dan wel in staat zijn om ULA prefixes te kunnen adverteren naar de clients.
Voor Linux heb je onder tooltje om te inspecteren wat er allemaal op je netwerk wordt geadverteerd kwa IPv6 RA:
deHakkelaar in "UDM Pro icm Pi-hole en IPv6 van KPN"

[Operations]

deHakkelaar schreef op donderdag 15 februari 2024 @ 22:47:
[...]

Ik ben niet zo handig met Docker en heb geen ervaring met Adguard maar ...
boven is een GUA prefix (Global Unicast) die afhankelijk is van wat je ISP adverteert via IPv6 RA (Router Advertisement).
Deze prefixes veranderen ook regelmatig waardoor je deze addressen niet kunt gebruiken zoals je met statische IPv4 adressen gewend bent.
Voorkeur heeft om ULA addressen/prefixes (Unique Local) te gebruiken/configureren welke niet verandert:
https://www.oreilly.com/l...a/9780134670584/ch05.html

Je router moet dan wel in staat zijn om ULA prefixes te kunnen adverteren naar de clients.
Voor Linux heb je onder tooltje om te inspecteren wat er allemaal op je netwerk wordt geadverteerd kwa IPv6 RA:
deHakkelaar in "UDM Pro icm Pi-hole en IPv6 van KPN"

Nu ben ik nog niet zo handig met IPv6 dus mssn domme vraag. Maar die o reilly link zegt bij ULA fc00. Jouw reactie die je aanhaalt gebruik je fd00.

[deHakkelaar]

fd00 valt in het /7 subnet voor ULA
EDIT: Test of je wakker bent

[ Voor 24% gewijzigd door deHakkelaar op 15-02-2024 23:07 ]

[deHakkelaar]

Met Docker kun je commandos in de container uitvoeren:

code:

docker exec -it <CONTAINER_NAME> <COMMAND>

Je bent wel afhankelijk van welke commondos in de container beschikbaar zijn en dit is meestal minimaal.
Maar ik denk dat onder wel in de meesten zit:

code:

docker exec -it <CONTAINER_NAME> ip -br address show

Of een shell opstarten:

code:

docker exec -it <CONTAINER_NAME> sh

[Operations]

deHakkelaar schreef op donderdag 15 februari 2024 @ 23:19:
Met Docker kun je commandos in de container uitvoeren:

code:

docker exec -it <CONTAINER_NAME> <COMMAND>

Je bent wel afhankelijk van welke commondos in de container beschikbaar zijn en dit is meestal minimaal.
Maar ik denk dat onder wel in de meesten zit:

code:

docker exec -it <CONTAINER_NAME> ip -br address show

Of een shell opstarten:

code:

docker exec -it <CONTAINER_NAME> sh

toon volledige bericht

Wakker zeker alleen heb nog geen nieuwe docker-compose gemaakt dus IP in container checken nog niet zoveel zin. Maar dank

[deHakkelaar]

Houd ook rekening met de verschillende "network modes":
https://docs.docker.com/network/

Ik geloof dat host en macvlan de enige zijn waarbij IPv6 RA via broadcast packets doorkomt.

[Operations]

deHakkelaar schreef op donderdag 15 februari 2024 @ 23:48:
Houd ook rekening met de verschillende "network modes":
https://docs.docker.com/network/

Ik geloof dat host en macvlan de enige zijn waarbij IPv6 RA via broadcast packets doorkomt.

https://gist.github.com/f...33ec461e9c1e624d5e08dec10

Ik ga die proberen, denk dat het dan wel goed komt. Niet helemaal zoals ik het in lrincipe zou willen. Maar dat is maar even hoe het is

[Operations]

@deHakkelaar ik heb nu aantal poorten in mijn docker-compose staan. Als ik macvlan zou gaan gebruiken, moeten die er dan uit? / is niet meer nodig? Die github die ik zelf aan haal heeft ook de poorten achter # (dus comment) staan.

[deHakkelaar]

Dat zijn poort definities om te NATen van binnen in de container naar buiten.
Die heb je niet nodig als je macvlan gebruikt omdat de container een eigen IP krijgt en er dan geen NAT nodig is.

[Operations]

deHakkelaar schreef op zondag 18 februari 2024 @ 12:54:
Dat zijn poort definities om te NATen van binnen in de container naar buiten.
Die heb je niet nodig als je macvlan gebruikt omdat de container een eigen IP krijgt en er dan geen NAT nodig is.

Ok, das helder dat dacht ik al. Weet jij toevallig waarom dit niet lukt:

Ik heb een macvlan network config gemaakt (met onderstaande IP ranges) maar wanneer ik dan een netwerk probeer te maken op basis van die config krijg ik een error:
"Pool overlapse with one on this address space"

Ik heb geen andere docker netwerkjes die beginnen met 192. IPv6 ook nergens gebruikt. Dit 192. subnet (en IPv6) is hetzelfde als mijn LAN gebruikt.


IPV4 Subnet - 192.*.*.0/24
IPV4 Gateway - 192.*.*.1
IPV4 IP Range - 192.*.*.*.0/24
IPV6 Subnet - 2***:a***:2***:222::/64
IPV6 Gateway - 2***:a***:2***:222:250:56ff:feb3:5149
IPV6 IP Range - 2***:a***:2***:222::/64

[deHakkelaar]

Operations schreef op zondag 18 februari 2024 @ 15:05:
Weet jij toevallig waarom dit niet lukt:

Nope.
Ik zou eerst alleen IPv4 werkend proberen te krijgen.

[Operations]

deHakkelaar schreef op maandag 19 februari 2024 @ 02:30:
[...]

Nope.
Ik zou eerst alleen IPv4 werkend proberen te krijgen.

Alleen IPv4 werkt wel, dus probleem zit in die IPV6 subnet/range. Maar wil wel graag die IPv6 werkend

IPV6 Subnet - 2***:a***:2***:222::/64
IPV6 Gateway - 2***:a***:2***:222:250:56ff:feb3:5149
IPV6 IP Range - 2***:a***:2***:222::/64

2***.a****.2*** is mijn KPN IPv6 subnet. 222 is de prefix.

[ Voor 25% gewijzigd door Operations op 19-02-2024 03:26 ]

[Hero of Time]

Het zou kunnen dat het de Router Advertisement van je KPN box ziet en dat als conflict markeert voor wat je met je container wilt doen.

[Operations]

adguard draait inmiddels op macvlan netwerk. Probleem nu is alleen dat ik vanuit netwerk dat adres niet kan benaderen. Log van adguard via portainer geeft aan listen op juiste IP adressen maar pingen lukt niet en krijg dashboard ook niet open.

EDIT: macvlan netwerkje lijkt niet.

[ Voor 7% gewijzigd door Operations op 20-02-2024 16:07 ]

[Hero of Time]

Waar vandaan probeer je met de container te verbinden? Is dat het systeem waarop de container zelf draait? Want met macvlan hebben kvm/libvirt virtuele machines geen verbinding met de host mogelijk en vice versa. Containers zouden niet anders moeten reageren in dat opzicht.

Zorg dus dat je met een ander systeem dan de docker host naar je adguard gaat.

[Operations]

Hero of Time schreef op dinsdag 20 februari 2024 @ 19:21:
Waar vandaan probeer je met de container te verbinden? Is dat het systeem waarop de container zelf draait? Want met macvlan hebben kvm/libvirt virtuele machines geen verbinding met de host mogelijk en vice versa. Containers zouden niet anders moeten reageren in dat opzicht.

Zorg dus dat je met een ander systeem dan de docker host naar je adguard gaat.

Ik probeer via workstation naar adguard dashboard te gaan. Of te pingen.
Als ik via console van die adguard docker probeer te pingen werkt dat ook niet. Er is / lijkt iets niet goed met dat macvlan netwerk.

Dit commando gebruikt. Ik zie het netwerk in Portainer.

docker network create -d macvlan /
--subnet=172.16.20.0/24 /
--gateway=172.16.20.1 /
--ipv6 /
--subnet=2***:****:****:20::/64 /
--gateway=2***:****:****:20:250:56ff:feb3:5149 /
-o parent=ens192 /
dockermacvlan


Compose file ziet er nu zo uit

code:

services:
   adguardhome:
        image: adguard/adguardhome
        container_name: adguardhome
        restart: unless-stopped
        networks:
           dockermacvlan:
                ipv4_address: 172.16.20.230 # IP address inside the defined range
                ipv6_address: 2***:***:****:20::230
        volumes:
            - ./config:/opt/adguardhome/work
            - ./config:/opt/adguardhome/conf
            - /home/nick/NPM/letsencrypt:/opt/adguardhome/ssl
# ports:
# - 53:53/udp
# - 53:53/tcp
# - 784:784/udp
# - 853:853/tcp
# - 3333:3000/tcp
# - 80:80/tcp
# - 443:443/tcp
networks:
    dockermacvlan:
        external:
            name: dockermacvlan

[Hero of Time]

Heb je op de docker host gekeken of de NIC in promiscuous mode wordt gezet? Neem even aan dat het bedraad is aangesloten, wifi kan nog wel een dingetje zijn wat niet altijd lekker werkt.

Zorg tevens dat bij de definitie van macvlan je ook de fysieke NIC noemt dat gebruikt moet worden. Dat lijk je niet te doen, je geeft aan om 'dockermacvlan' te gebruiken en de naam is ook 'dockermacvlan'. Zie ook de documentatie erover: https://docs.docker.com/network/drivers/macvlan/.

[Operations]

Hero of Time schreef op dinsdag 20 februari 2024 @ 20:25:
Heb je op de docker host gekeken of de NIC in promiscuous mode wordt gezet? Neem even aan dat het bedraad is aangesloten, wifi kan nog wel een dingetje zijn wat niet altijd lekker werkt.

Zorg tevens dat bij de definitie van macvlan je ook de fysieke NIC noemt dat gebruikt moet worden. Dat lijk je niet te doen, je geeft aan om 'dockermacvlan' te gebruiken en de naam is ook 'dockermacvlan'. Zie ook de documentatie erover: https://docs.docker.com/network/drivers/macvlan/.

"Heb je op de docker host gekeken of de NIC in promiscuous mode wordt gezet?" dit zegt me even niks, even naar kijken. Ja is bedraad.
Documentatie zal ik ook even bekijken uiteraard.

[Operations]

Hero of Time schreef op dinsdag 20 februari 2024 @ 20:25:
Heb je op de docker host gekeken of de NIC in promiscuous mode wordt gezet? Neem even aan dat het bedraad is aangesloten, wifi kan nog wel een dingetje zijn wat niet altijd lekker werkt.

Zorg tevens dat bij de definitie van macvlan je ook de fysieke NIC noemt dat gebruikt moet worden. Dat lijk je niet te doen, je geeft aan om 'dockermacvlan' te gebruiken en de naam is ook 'dockermacvlan'. Zie ook de documentatie erover: https://docs.docker.com/network/drivers/macvlan/.

Dit zegt documentatie:

docker network create -d macvlan \
--subnet=172.16.86.0/24 \
--gateway=172.16.86.1 \
-o parent=eth0 \
my-macvlan-net

Dat is toch ook wat ik doen? alleen noem ik het dockermacvlan? Of begrijp ik je verkeerd?

[Hero of Time]

Je hebt dit in je docker compose staan:

code:

etworks:
    dockermacvlan:
        external:
            name: dockermacvlan

Waar geef je de parent op? Ik zie geen naam van een fysieke NIC hier opgegeven. Alleen een verwijzing naar zichzelf.

[Operations]

Hero of Time schreef op dinsdag 20 februari 2024 @ 20:34:
Je hebt dit in je docker compose staan:

code:

etworks:
    dockermacvlan:
        external:
            name: dockermacvlan

Waar geef je de parent op? Ik zie geen naam van een fysieke NIC hier opgegeven. Alleen een verwijzing naar zichzelf.

O daar dacht in het command.

[Vorkie]

Als je al macvlan met naam dockermacvlan hebt gemaakt kan je deze gebruiken

code:

services:
   adguardhome:
        image: adguard/adguardhome
        container_name: adguardhome
        restart: unless-stopped
        networks:
               default:
                ipv4_address: 192.168.x.x # IP address inside the defined range
                ipv6_address: 2a02:x:x:x::x
        volumes:
            - ./config:/opt/adguardhome/work
            - ./config:/opt/adguardhome/conf
            - /home/nick/NPM/letsencrypt:/opt/adguardhome/ssl
# ports:
# - 53:53/udp
# - 53:53/tcp
# - 784:784/udp
# - 853:853/tcp
# - 3333:3000/tcp
# - 80:80/tcp
# - 443:443/tcp
networks:
  default:
    name: dockermacvlan
    external: true

Zo start ie netjes,

[ Voor 5% gewijzigd door Vorkie op 20-02-2024 20:45 ]

[Operations]

Vorkie schreef op dinsdag 20 februari 2024 @ 20:45:
Als je al macvlan met naam dockermacvlan hebt gemaakt kan je deze gebruiken

code:

services:
   adguardhome:
        image: adguard/adguardhome
        container_name: adguardhome
        restart: unless-stopped
        networks:
               default:
                ipv4_address: 192.168.x.x # IP address inside the defined range
                ipv6_address: 2a02:x:x:x::x
        volumes:
            - ./config:/opt/adguardhome/work
            - ./config:/opt/adguardhome/conf
            - /home/nick/NPM/letsencrypt:/opt/adguardhome/ssl
# ports:
# - 53:53/udp
# - 53:53/tcp
# - 784:784/udp
# - 853:853/tcp
# - 3333:3000/tcp
# - 80:80/tcp
# - 443:443/tcp
networks:
  default:
    name: dockermacvlan
    external: true

Zo start ie netjes,

toon volledige bericht

Dank Maar jij gebruikt hier ook geen parent interface toch? Heb ik inmiddels geprobeerd met parent interface en jouw opzetje. maakt geen verschil.

[Vorkie]

Operations schreef op dinsdag 20 februari 2024 @ 20:49:
[...]


Dank Maar jij gebruikt hier ook geen parent interface toch? Heb ik inmiddels geprobeerd met parent interface en jouw opzetje. maakt geen verschil.

Die parent kies je op het "externe" netwerk dockermacvlan die je al aangemaakt hebt, meestal ens192 of ens33

[Operations]

Gevonden!

Behalve promiscuous mode moest er nog aanpassing op ESX gedaan worden. Wordt alleen niet zo blij van die 2 settings.. maar ok. Oorzaak wel gevonden. Dank voor de moeite.

You need to turn on promiscuous mode and allow forged transmits for your LAN vSwitch. This is because macvlan mode requires the guest to be listening for the falsified MAC addresses as well as be able to falsify MAC addresses.

[ Voor 13% gewijzigd door Operations op 20-02-2024 21:00 ]

[Hero of Time]

Hoezo niet zo blij met die twee settings? Wat je in het Engels zegt is wat ESX in feite ook doet. Waarom denk je anders dat er meerdere VMs via 1 fysieke NIC naar buiten kunnen en toch allemaal afzonderlijk een MAC adres hebben?

[Operations]

Hero of Time schreef op dinsdag 20 februari 2024 @ 22:13:
Hoezo niet zo blij met die twee settings? Wat je in het Engels zegt is wat ESX in feite ook doet. Waarom denk je anders dat er meerdere VMs via 1 fysieke NIC naar buiten kunnen en toch allemaal afzonderlijk een MAC adres hebben?

O nee klinkt (achteraf gezien) ook wel logisch Maar nu kan het verkeer gesnift worden enzo. Voor thuis allemaal niet zo een probleem, maar probeer dingen altijd zo goed mogelijk in te stellen en dus geen rekening te houden met "het is maar thuis " situatie. Waar dat kan uiteraard.

Maar heb nu oorzaak gevonden weer wat geleerd, en heb adguard docker nu gewoon op bridge gezet.

[Hero of Time]

Dat sniffen is alleen mogelijk door VMs die op dezelfde vSwitch zitten. De fysieke NIC staat al in promiscuous mode, dus an sich is dat niet eens het probleem.

Ik weet dat het in VMware onder Security staat, maar de soep wordt niet zo heet gegeten als het wordt opgediend.