VDSL ipv6 mit pfsense

macaholic

Hallo Zusammen

Ich betreibe schon lange erfolgreich eine pfsense Firewall an meinem Swisscom VDSL Anschluss. Die Firewall ist an einer Vigor 165 Bridge von DrayTek angeschlossen.

Bisher hatte ich immer nur ipv4 aktiv auf dem WAN interface. Da Swisscom nun den Rollout von Dualstack abgeschlossen hat, würde ich gerne auch ipv6 aktivieren. Kriege jedoch aktuell keine ipv6 adresse auf dem WAN interface.

Habe testweise meine IB2 angeschlossen und da kann ich ipv6 aktivieren und Verbindungstyp steht auf dualstack somit scheint der Anschluss in ordnung.

Hat jemand bereits so eine Konfiguration am laufen und kennt die korrekten Einstellungen für das Interface in der pfsense Firewall?

hed

@macaholic

Im Internet habe ich diese Anleitung gefunden, evtl hilft sie:

Überprüfe, ob IPv6 auf dem WAN-Interface der pfsense Firewall aktiviert ist. Gehe dazu zu “Interfaces” > “WAN” und stelle sicher, dass “IPv6 Configuration Type” auf “DHCP6” oder “SLAAC” eingestellt ist.
Stelle sicher, dass die Firewall eine gültige IPv6-Adresse vom Swisscom-Netzwerk erhalten hat. Gehe dazu zu “Status” > “Interfaces” und suchen nach dem WAN-Interface. Wenn eine IPv6-Adresse angezeigt wird, bedeutet dies, dass die Firewall eine gültige IPv6-Adresse erhalten hat.
Überprüfe, ob die Firewall über eine Firewall-Regel für IPv6-Datenverkehr verfügt. Gehe dazu zu “Firewall” > “Rules” und suche nach einer Regel für das WAN-Interface. Stelle sicher, dass die Regel für IPv6-Datenverkehr konfiguriert ist und dass sie nicht blockiert wird.
Stelle sicher, dass das LAN-Interface der Firewall für IPv6 konfiguriert ist. Gehe dazu zu “Interfaces” > “LAN” und stelle sicher, dass “IPv6 Configuration Type” auf “Track Interface” oder “DHCP6” eingestellt ist.

kaetho

@macaholic schrieb:

…

Hat jemand bereits so eine Konfiguration am laufen und kennt die korrekten Einstellungen für das Interface in der pfsense Firewall?

Hallo @macaholic

gib doch oben im Suchfeld mal pfsense ein.

So erhälst du schnell eine Übersicht, wer eine pfsense im Einsatz hat (und mit etwas Glück auch bereits eine konkrete Lösung zu deinem Problem) 😉

macaholic

@hed

Ich scheitere leider schon bei Punkt 2. Das WAN Interface ist auf SLAAC gestellt aber ich erhalte vom Swisscom Neztwerk keine IP zugewiesen.

Wenn diese Konfiguration ausreichen sollte, wird dann aber wohl etwas auf der Bridge nicht ganz passen.

@kaetho

Habe schon gesucht aber konnte noch nichts zu pfsense im zusammenhang mit DualStack finden.

Werner

@macaholic

In diesem verlinkten Thread befindet sich auch noch einiges an Infos:

https://community.swisscom.ch/t5/Router-Hardware/Native-IPv6/m-p/722758#M40821

mabu1

Werner

@macaholic

Ist auf der pfsense ipv6 aktiviert?

Systems => Advanced => Networking

macaholic

@“x”#234740Danke für den Link habe ich mal durchgeschaut aber ausser das Problem am Schluss mit den NDP Tables habe ich nicht viel neues gesehen. Das habe ich zwischenzeitlich geprüft meine Bridge erscheint nicht in der NDP Tabelle auf der pfsense, soweit also gut.

@“x”#226505Ja ipv6 ist aktiv in den Einstellungen.

mabu1

@macaholic
Kannst du mal Interfaces/WAN und Services/DHCPv6 Server & RA als Screenshot hier hochladen.

macaholic

@mabu1 hier die aktuelle Konfiguration des WAN Interfaces. DHCPv6 Server ist aktuell nicht aktiv. Kann ich auch gar nicht aktivieren da ich keine ipv6 adresse auf einem interface habe.

andiroid

@macaholic: Ich hatte mal eine längliche Diskussion bezüglich IPV6 und Fritzboxen angezettelt. Die Hypothese ist, dass ich damals mit einer alten IB (Fritzbox “hinter” IB) IPv6 deaktiviert hatte, nach der Freigabe der SIP Credentials die IB entsorgt hab und nun wieder eine IB bräuchte um v6 auf meinem Anschluss zu aktivieren.

Vielleicht hast du ein ähnlich gelagertes Problem?

Äs Grüessli

Andiroid

👽

macaholic

@“x”#297727Ja das Problem hatte ich zuerst auch. Ich habe aber zum Glück meine IB noch im Lager und konnte nach etwas hin und her mit dem Swisscom Support damit auch ipv6 aktivieren (da gibts wohl Limitierungen in verbindung mit dem Internet Booster welcher mir mal ungefragt zugesendet wurde).

Mit der IB am Anschluss ist ipv6 aktiv und funktioniert wie erwartet. Aber eben leider nicht mit der pfsense 😕

hed

@macaholic

Für die Tests mit Vigor Bridge und pfsense hast du den Booster aber nicht in Betrieb, oder?

macaholic

@hed nein der Booster war gar nie im einsatz bei mir. Habe die IB ja normalerweise gar nie im Betrieb und ohne die macht das ding ja nichts. Musste es aber durch den Swisscom Suport ganz aus meiner Anschlusskonfig rausnehmen lassen vorher hats nicht mal mit der IB geklappt.

mabu1

@macaholic

Hast du mal mit iIPv6 Configuration Type DHCP6 und der Option

Request only an IPv6 prefix X Only request an IPv6 prefix, do not request an IPv6 address

und/oder

Send IPv6 prefix hint X Send an IPv6 prefix hint to indicate the desired prefix size for delegation

versucht eine Prefix zu bekommen?

tohil

@macaholic

Wie ging es in dieser Sache weiter?

Ich habe heute auch versucht IPv6 auf meiner PFsense mit Zyxel Bridge zu aktivieren. Aber leider ohne Erfolg.

Eine alte IB Standart habe ich ebenfalls noch rausgesucht, Firmware aktualisiert und dort erfolgreich IPv6 aktiviert und die DualStack Konfig als aktiv sehen können.

Auf der Pfsense habe ich das WAN interface auf DHCPv6 Client mit verschiedenen weiteren Optionen versucht. Jedoch ohne Erfolg.

tohil

Request only an IPv6 prefix = enabled

DHCPv6 Prefix Delegation size = 58

Send IPv6 prefix hint = disable

Do not wait for a RA = enabled


Apr 5 21:33:13	dhcp6c	72448	script “/var/etc/dhcp6c_wan_dhcp6withoutra_script.sh” terminated
Apr 5 21:33:13	dhcp6c	73166	dhcp6c renew, no change - bypassing update on igb0
Apr 5 21:33:13	dhcp6c	72448	executes /var/etc/dhcp6c_wan_dhcp6withoutra_script.sh
Apr 5 21:33:13	dhcp6c	72448	status code for PD-0: success
Apr 5 21:33:13	dhcp6c	72448	update a prefix 2a02:1210:2a8a:3600::/56 pltime=7200, vltime=21600
Apr 5 21:33:13	dhcp6c	72448	update an IA: PD-0
Apr 5 21:33:13	dhcp6c	72448	dhcp6c Received INFO
Apr 5 21:33:13	dhcp6c	72448	status code: success
Apr 5 21:33:13	dhcp6c	72448	get DHCP option status code, len 9
Apr 5 21:33:13	dhcp6c	72448	IA_PD prefix: 2a02:1210:2a8a:3600::/56 pltime=7200 vltime=21600
Apr 5 21:33:13	dhcp6c	72448	get DHCP option IA_PD prefix, len 25
Apr 5 21:33:13	dhcp6c	72448	IA_PD: ID=0, T1=3600, T2=5760
Apr 5 21:33:13	dhcp6c	72448	get DHCP option IA_PD, len 54
Apr 5 21:33:13	dhcp6c	72448	DUID: fe:80:00:00:00:00:00:00:02:00:5e:ff:fe:00:01:2c
Apr 5 21:33:13	dhcp6c	72448	get DHCP option server ID, len 16
Apr 5 21:33:13	dhcp6c	72448	DUID: 00:01:00:01:2b:c0:58:9b:00:0d:b9:42:69:a8
Apr 5 21:33:13	dhcp6c	72448	get DHCP option client ID, len 14
Apr 5 21:33:13	dhcp6c	72448	receive reply from fe80::200:5eff:fe00:12c%igb0 on igb0
Apr 5 21:33:13	dhcp6c	72448	send renew to ff02::1:2%igb0

macaholic

@tohil

Bin momentan in den Ferien, werde mich danach wieder mit diesem Thema befassen.

tohil

@macaholic

Ich hab es hinbekommen…

WAN Interface:

IPv6 Configuration Type = DHCP6

Request only an IPv6 prefix = yes

DHCPv6 Prefix Delegation size = 62

Send IPv6 prefix hint = no

Do not wait for a RA = yes

DHCPv6 Server & RA

DHCPv6 Server

DHCPv6 Server = Enable DHCPv6 server on interface LAN

Subnet = Delegated Prefix: WAN/0 (2a02:1210:2a8b:f300::/62)

Range =::ffff:ffff:ffff:0000 -::ffff:ffff:ffff:ffff

Router Advertisements

Router Mode = Assisted

Firewall Rules

LAN Interface: IPv6 Any Proto, Source LAN Net, Destination any, allow

KatrinM

Hallo @macaholic

Konntest du inzwischen das Feedback von tohil prüfen und konnte es dich bei der Lösung unterstützen? Sollte dem so sein freuen wir uns wenn du den Kommentar als Lösung markierst oder sonst weitere Details teilst.

macaholic

@tohil

Danke für den Tipp, scheine ich noch nicht ganz hinzubekommen. Kannst du mir sagen was du bei deinem LAN interface als ipv6 Verbindungstyp eingestellt hast?

Noch eine Frage in die Runde müsste die prefix delegation size nicht auch höher möglich sein als nur /62?

Werner

macaholic schrieb:

….

Noch eine Frage in die Runde müsste die prefix delegation size nicht auch höher möglich sein als nur /62?

Mit einem Merlin-Router requeste ich aktuell einen 58er von einer IB3 als Zugangsrouter und das klappt auch:

Nächste Seite »