IPv6 - Verteilung von ULA

[Barungar]

Erst einmal hast Du mit Deinen ULA statische IPv6-Adressen, die im Gegensatz zu den ebenfalls statischen LLA, routingfähig sind.
Nun solltest Du z.B. in Deinem Netz zwischen den VLANs intern mit den ULA kommunizieren können.

z.B. Deinen eigenen DNS-Server betreiben oder Dein Drucker- bzw. Laufwerksmapping über die ULA machen können.

 

[tiermutter]

Ob das alles dauerhaft zur guten Stimmung beiträgt werde ich sehen (und hier natürlich berichten)...

Bitte einmal Screenshots von der config virtuelle IP, DHCP und RADVD (nur LAN Interface)
Nur zum Abgleich, klingt nach dem Stand auf dem ich auch bin...

 

[blurrrr]

Die anderen Interfaces machen KEIN DHCPv6

Bitte einmal Screenshots von der config virtuelle IP, DHCP und RADVD (nur LAN Interface)

@tiermutter Er hat doch gar kein DHCP laufen

 

[the other]

Moinsen,
Ja, genau das war das Ziel.
Die diversen checks im Netz ergeben, dass alles im grünen Bereich ist bzgl ipv6 Internet (GUA).
Die bisherigen Versuche im Heimnetz klappen segmentübergreifend (ULA).
Die Versuche innerhalb eines Segments (LLA und ULA) klappen ebenso.

Ping innerhalb Heimnetz geht, ins Internet ebenso. Alles benutzt den eigenen Resolver auf der pfsense.
Und weil alles ohne dhcpv6 geht, funktionieren auch die Android clients mit allen drei Adressen.

Werde die nächsten Tage mal die Regeln anpassen bzw ergänzen um die neuen ipv6 Adressen...
Ich sag dann bescheid...

 

[tiermutter]

Er hat doch gar kein DHCP laufen

Oh, hatte das auf die VLAN gemünzt...

Und bekommen alle Client OS eine v6 GA?

 

[the other]

Moinsen,,
Auf d3n konfigurierten interfaces ja...
GUA
ULA
LINK-LOCALE
Und die ipv4
Plus privacy Adressen...

 

[blurrrr]

Aber vermutlich ohne Reservierungen, sondern entweder statisch (direkt am Client) , oder dynamisch vergeben und das ist ja genau das, was Du eigentlich nicht wolltest (so hatte ich das zumindestens verstanden)...

 

[the other]

Moinsen,
naja...ich hab das bisher so verstanden:
den ersten Teil der Adresse gebe ich dafür selber an. Da dieser normalerweise ja auch aus dem dynamischen GUA Präfix des ISP abgeleitet wird, wäre das doof.
Deswegen habe ich hier diesen Teil durch den zufallsgenerierten Teil ersetzt. Dadurch hab ich dann die Problematik mit dem sich ändernden Teil weg.
Die zweite Hälfte der Adresse (der host-Anteil) wird hier aus der MAC generiert. AFAIK ändert sich dieser eben auch nicht in x Zeitabständen.
Ergo sollte ich doch eine ULA erhalten haben, die fest ist.
Die pfsense hat auf ihren virtuellen Interfaces jeweils den generierten ersten Teil und eben /64 sowie eine Präfix ID (also zb für VLAN20 die 2 usw). Dadurch sehe ich dann auch direkt, aus welchem Segment die IP stammen muss.

Somit ist dann der erste Teil der Adresse immer fix gefolgt von der PräfixID (=VLANID) plus dann eben etwas überschaubareren host Teil.
Das ganze dann in den Resolver eingetragen: nslookup geht. Es werden alle hinterlegten IPs des gesuchten hosts angezeigt. Andersherum natürlich auch (IP>hostname)...
Die Firewallregeln in den Aliasen mit den "neuen" ULAs für die jeweiligen Clients versorgt und bei den Tests klappt das alles bisher so wie es soll.
Auch die interne Firewall des NAS reagiert folgerichtig: Zugriff via / mit IPv6 geht erst nach Einrichten der passenden Regel.

Nach allem was ich zuletzt so gelesen habe, sollte also alles fix sein, an den Clients habe ich dazu keine feste IP angegeben, das läuft alles via pfsense. Habe auch alles (also clients wie auch pfsense selber) jetzt mehrfach gebootet, bin mit dem PC von einem VLAN in ein anderes Test VLAN gehüpft und bekomme direkt die dort zugeteilte ULA (andere Präfix ID)...also wie gesagt, ich geb Bescheid, wie es weiter geht.

 

[blurrrr]

Ergo sollte ich doch eine ULA erhalten haben, die fest ist.

Najo, Präfix hin oder her, wenn der Hostteil der bisherigen Ordnung folgen soll (x.x.x.10 vs fd00::10) kommt die MAC-Geschichte ja nicht wirklich zum tragen. So wie ich es verstanden habe, möchte @tiermutter die v6-IPs gern a) selbst bestimmen und b) via Reservierung statisch zugeordnete Adressen verteilen lassen. Zumindestens habe ich das so verstanden... Falls ich da total daneben liege, lasse ich mich natürlich auch gern eines besseren belehren

 

[the other]

Moinsen @blurrrr,
nein nein, alles gut...
Ich Sempel hab bei deinem Post

und das ist ja genau das, was Du eigentlich nicht wolltest

irgendwie mich angesprochen gefühlt und nicht gepeilt, dass du @tiermutter meinst...

Wenn man wieder mal mehr als zwei Sachen gleichzeitig versucht...

 

[blurrrr]

Alles gut, hab nur gedacht, dass ich völlig auf dem Schlauch stehe und einfach an allem vorbei rede (kommt ja auch durchaus mal vor)

 

[the other]

Moinsen,

(kommt ja auch durchaus mal vor)

das beruhigt mich ein wenig zu lesen...

 

[tiermutter]

Also eine GA mit Mapping funktioniert erwartungsgemäß, mit der ULA klappt das allerdings nicht, die wird ja auch von RADVD verteilt wo ich das nicht einstellen kann.
Nun sieht es bei Windows so aus:


1. GA vom DHCP6
2. GA von RADVD
3. ULA von RADVD
4. PE GA
5. PE ULA

a) Wenigstens die GA von RADVD/ SLAAC würde ich gerne loswerden, aber wenn ich das abschalte bekomme ich wiederum keine ULA und Android Geräte bekommen vermutlich gar nichts weil die ja kein DHCP6 können.
b) Dann noch die ULA so vergeben wie ich es gerne hätte (wäre identisch dem Suffix der GA) und dann wäre schon fast alles geil.
c) Naja bis auf die PE.

Hätte es nicht echt gereicht wenn man sich auf SLAAC oder DHCP6 geeinigt hätte statt so ein Durcheinander zu veranstalten?

 

[Barungar]

Naja, die Theorie war halt...

Es gibt "Heimuser", die brauchen keine festen Adressen, die sind eh "mit allem überfordert". Für die muss alles automatisch funktionieren.
Und es gibt "Enterprise-User", die brauchen verwaltete und statische Adressen, die haben eigene DNS-, NTP-Server usw.

Du bist in den Welten dazwischen. Bzw. wäre es kein Problem, wenn DU akzeptieren würdest, dass für Dich SLAAC vorgesehen ist.
Du kann gerne ein fixes ULA-Präfix nutzen und das Suffix ist ja auch statisch dank EUI64. Wieso sollte sich ein Heimanwender dafür interessieren,
wie seine statische ULA aussieht. Hauptsache sie ist statisch und er kann seine SMB-Laufwerke mappen.

Darüberhinaus sollte man halt auch DNS nutzen, dann ist das Aussehen der IPv6s nochmal mehr egal.

Ich arbeite mit dem DNS-Namen meines NAS beim Mappen, und das kommt von meinem DNS-Server und der liefert die (statisch) ULA aus.

 

[tiermutter]

Du bist in den Welten dazwischen.

Deswegen wäre es schick wenn es so geht wie bei IPv4, DHCP automatisch und bei Bedarf DHCP statisch. Ich verstehe halt nicht wozu es on Top noch ein SLAAC geben muss und daraus resultiert, dass manche Geräte/ OS nur eines davon unterstützen.

Wieso sollte sich ein Heimanwender dafür interessieren,
wie seine statische ULA aussieht.

Weil...

Darüberhinaus sollte man halt auch DNS nutzen

... ich es gewohnt bin mir IP Adressen zu merken.
Im von mir gewünschten Szenario entsprechend nur eine Ziffer des Hostanteils.
Damit weiß ich dann auch stets was irgendwo passiert, oftmals werden in Logs ja nur die IP angegeben und nicht die Hostnamen.

Aber gut... wenn ich mich dazu durchringe mit DNS zu arbeiten, kann es mir recht egal sein wie die ULA aussieht, damit würde ich dennoch von meiner Gewohnheit Abstand nehmen müssen, bei einem Geräteaustausch wieder die gleiche IP verwenden zu können. Halb so wild, ich finds trotzdem doof.

 

[the other]

Moinsen,
tja, der Lauf der Zeiten...

... ich es gewohnt bin mir IP Adressen zu merken.

Ketzerisch erwidere ich darauf, dass meine Großmutter es gewohnt war, am Samstag durchs Dorf zu gehen und Pferdeäppel einzusammeln...bis dann kaum noch Pferde da waren sondern überall diese lärmenden, stinkenden Knatterdinger.

Aber im Ernst: ich tue mich da auch schwer, weil ich es auch gewohnt bin, volle Kontrolle über zumindest die Geräte im Heimnetz zu haben (oder zu glauben dass ich diese hätte). Dafür habe ich auch mit IPv4 gerne mit IPs statt mit DNS gearbeitet. Zentral verwaltet, alles supi.

Momentan scheint es aber eben Zeit für ein Umdenken zu sein...DHCPv6 bringt mir hier wenig (wegen dynamischer GUA Präfixe und daher komplexer Gestaltung von Rulesets und Co). Auch finde ich es absolut nervend, dass bei einer so gewichtigen Umgestaltung der Adressen im Netz sich da zwei bockige Kinder hinsetzen und sagen: das was der andere will, mach ich auf keinen Fall mit (Google YAY SLAAC, NAY DHCPv6 und Microsoft andersherum)...also am besten beide ohne TV und Abendessen ins Bett.

Sollte sich das Thema IPv6 irgendwann mal etwas praxisnäher gestalten (i.E. fixe Präfixe ohne Business-Aufschlagskosten), dann steige ich da sicherlich auch nochmal ein /um...bis dahin bin ich aber heute erstmal froh, dass ausgewählte Interfaces im Netz auf IPv6 Seiten zugreifen können und ich mit den ULAs auch im eigenen Netz mit IPv6 rumspielen kann über die Netzwerksegmente hinweg. Als Spielwiese für mich erstmal voll ausreichend.

Und wie gesagt: meine Oma...

 

[Barungar]

Weil...
... ich es gewohnt bin mir IP Adressen zu merken.

Das kann ich voll und ganz verstehen. Habe ich früher im IPv4 auch so gehandhabt. Da kannte ich die IPv4 in meinem Netz und auch die wichtigsten in der Firma auswendig.

Aber dieser Ansatz ist bei IPv6 leider etwas schwieriger, weil man im Design-Prozess eben ein wenig anders vorgegangen ist. Ich habe mich da auch umgewohnt. Das war auch mit einer der Gründe, weswegen ich einen eigenen DNS-Server betreibe. Mit der Zeit kam auch noch der Nutzen hinzu, dass immer mehr Provider anfingen die DNS-Daten zu manipulieren, weil ihnen gewisse Seiten nicht zusagten oder weil sie Briefe von Anwälten bzw. Gerichten bekamen, die sagten, dass die Seite böse sei.

Ich sage immer noch, ich bestimme welche DNS ich auslösen will und welche nicht, dass hat kein Gericht oder kein Provider für mich zu entscheiden. Also eigenen DNS-Server aufgebaut, über die tld-Zones eines "freien Landes" an die Root-Zone angedockt, mittels einer eigener Domain aus diesem Land, und Ruhe!

Auch wenn es schwerfällt, man sollte umdenken.

Anderes Beispiel ich bin immer nur manuelle Gangschaltung gefahren, mein aktuelles Auto hat Automatik. Nicht weil ich das wollte, sondern weil es das Auto nur mit Automatik gab. Jetzt warte ich auf die Lieferung meines neuen Autos, das hat Automatik, weil ich es wollte. Also man hat mich sozusagen "in die Richtung gestupst" und ich habe mich daran gewöhnt und sehe nun auch Vorteile.

Ketzerisch erwidere ich darauf, dass meine Großmutter es gewohnt war, am Samstag durchs Dorf zu gehen und Pferdeäppel einzusammeln...bis dann kaum noch Pferde da waren sondern überall diese lärmenden, stinkenden Knatterdinger.

Auch ein super Vergleich.

 

[the other]

Moinsen,

Auch ein super Vergleich.

Ja, hinkt wie Käpt'n Ahab auf der Suche nach seinem Wal...wie eben alle Vergleiche.

Hier beobachte ich aktuell, dass der Aufbau von Seiten (unter Firefox und Ubuntu 20.04) randomly länger dauert als vor der Umstellung.

Auch gibt die pfsense einen Fehler aus, der nach Recherche völlig unfehlerhaft ist und eher ein Bug in der pfsense ist (Eintrag lautet: warning: (/var/etc/radvd.conf:114) AdvRDNSSLifetime <= 2*MaxRtrAdvInterval would allow stale DNS servers to be deleted faster ).

Habe eben mal eingestellt, dass DNS Anfragen via IPv6 vernachlässsigt werden sollen zu IPv4...das hat noch nix geändert. Habe auch mal versuchsweise die IPv6 Blockliste unter pfblockerNG dev deaktiviert...auch nicht wesentlich schneller.
Einige Seiten schnell, andere wie zu ISDN Zeiten. Sind aber nicht immer diesselben Seiten (also mal geht zB heimnetz.de schnell, dann beim nächsten Mal wieder eher langsam, dann wieder schneller...bisher inkonsistentes Verhalten nach subjektiver Beobachtung).

Wie gesagt...ich bleib dran.



edit: unter Android und FIrefox flutscht es wie gewohnt. Vielleicht eher was Ubuntu-bezogenes...gleich mal mit nem anderen OS probieren...

 

[tiermutter]

Ich hasse Autos mit Schaltgetriebe Nie wieder kommt mir sowas in die Bude... und nie wieder eins ohne Standheizung *verwöhntes Stück was ich bin*.
Bevor ich anfange irgendwelche wilden Namen samt Domain anzusprechen wie "internal-Backup-NAS.domain" hämmere ich lieber und 10 Mal so schnell seine IPv4 "10.13.12.7" rein, dabei brauchen zwei Finger nichtmal ihre Position ändern

Dass ich also nur v6 verwende ist gaaaaaaaanz lange nicht in Aussicht...

 

[the other]

Moinsen,

Bevor ich anfange irgendwelche wilden Namen samt Domain anzusprechen wie "internal-Backup-NAS.domain"

na, dann nimm doch kurze prägnante Namen... "ds-bkp.domain", "pc1.domain"....