Wie bekommt man ULA's im OPNsense LAN?

[Confluencer]

Ich habe aktuell nur ULAs im Fritzbox LAN. GAs funktionieren mit delegiertem Prefix im OPNsense LAN. Wobei ich geschafft haben den DNS-Server aus der FB LAN ULA Range nicht mehr erreichbar zu machen, sodass die GA's jetzt wohl auch herzlich wenig bringen.

Ich hätte gerne auch in meinem OPNsense LAN ULAs und würde gerne auch den DNS-Server via CARP-IP auf eine ULA in dem Netz legen wollen.
Nur leider habe ich keinen blassen Schimmer was man an der Konfiguration drehen muss, damit das OPNsense LAN auch ULA's bekommt.

Mit dem, was ich dazu Online (diverse Blog-Posts, OPNsense Anleitung) gefunden habe, bin ich auch nicht wirklich schlauer geworden.

Meine aktuelle Konfiguration:

Fritzbox
- WAN = Internet
- LAN = "Schmutznetz" (hier sind auch weitere Konsumer-Gerät drin)
OPNsense 1/2
- WAN = "Schmutznetz"
- LAN = Homelab

Fritzbox ipv6 Einstellungen:

Router Advertisment im LAN:
- ULA immer zuweisen
- ULA-Prefix manuell festlegen fd00::/64

Weiter IPv6-Router im Heimnetz
- Auch IPv6-Präfixe zulassen, die andere IPv6-Router im Heimnetz bekanntgeben -> an
- Diese FRITZ!Box stellt den Standard-Internetzugang zur Verfügung -> an, Hoch

DNSv6-Server im heimnetz
- DNSv6-Server auch über Router Advertisement bekanntgeben (RFC 5006) -> an
- Lokaler DNSv6-Server fd00::250 (CARP-IP an Opnsense WAN, aber auch nur weil ich zu doof bin ULAs im LAN zu verteilen)

DHCPv6-Server im Heimnetz
- DHCPv6-Server in der FRITZ!Box für das Heimnetz aktivieren:
- DNS-Server und IPv6-Präfix (IA_PD) zuweisen

- Präferenz des FRITZ!Box DHCPv6-Servers: 255


OPN Interface Einstellungen:
- WAN:
- Sektion: Generic configuration
- IPv6 Configuration Type: DHCPv6
- Sektion: DHCPv6 client configuration
- Configuration Mode: Basic
- Request only an IPv6 prefix: an
- Prefix delegation size 60
- Send Ipv6 prefix hintet: an

- LAN:
- Sektion: Generic configuration
- IPv6 Configuration Type: Track Interface
- Sektion: Track IPv6 Interface
- IPv6 Interface: WAN
- IPv6 Prefix ID: 0x2 (zweite OPNsense 0x3)
- Manual configuration: Allow manual adjustment of DHCPv6 and Router Advertisements: an

OPN Services Router Advertisments:
- LAN:
- Router Advertisments: Unmanaged
- Router Priority: Normal
- Source Address: Automatic
- Advertise Default Gateway: aus (wenn an, dann kein Routing ins Internet)
- DNS servers: fd00::250 (am WAN, nicht LAN - funktioniert gerade nicht mehr, hat mal funktioniert)
- Domain search list: meine_internes_net;fritz.box

Da ich scheinbar etwas grob falsch mache, hätte ich gerne einen fachmännischen Blick auf meine Konfiguration und Tipps zu dem, was ich anders machen muss, um an mein Ziel zu kommen.

Schonmal besten Dank!

 

[the other]

Moinsen,
ich nutze hier zwar eine pfsense, aber deine Interfaceeinstellungen sehen auf den ersten Blick ok aus...
Unter pfsense verstecken sich die nötigen Einstellungen unter
Service > DHCPv6 Server& Router Advertisements

Dort findet sich (wie gesagt unter pfsense) dann eine weitere Seite: Router Advertisements
Hier kannst du dann für das jeweilige LAN / VLAN eine ULA-Präfix angeben.
Damit sollten deine Geräte dann (da ja SLAAC aktiv ist) den host-Anteil selber zusteuern und fertig ist die ULA.
Hier läuft kein DHCPv6, alles geht ebenfalls via RA.
Den DNS macht die pfsense als resolver, daher habe ich dort auch keine weiteren Einträge (default = pfsense).

 

[Confluencer]

In OPNsense sind beides getrennte Einträge unter Services
- DHCPv6
- Router Advertisement

Ich hatte den DHCPv6 Server tatsächlich noch zusätzlich an (ich dachte er wäre aus). Hab es deaktiviert.

Die Option sehe ich in Router Advertisements nicht:

 

[the other]

Moinsen,
tja bei solchen Details bin ich raus, da eben keine opnsense...

Denken würde ich: trag dein ULA Präfix bei RA ein. Sehe aber auch kein spezifisches Feld dafür...wie ist es unter Interfaces? Gibt es dort eine solche Option?

Die vollständige IPv6 (ULA) dann bei den vituellen IPs, wobei es in der Vergangenheit hier einen bug gab:
https://forum.opnsense.org/index.php?topic=15529.0
Keine Ahnung, ob der aktuell behoben ist.

Gerade noch was gefunden: unter Interfaces > virtualIPs kannst du die Angaben eintragen. Hier das plus, dann ein zufälliges Präfix eintragen (kannst du auch generieren lassen auf speziellen Seiten im Internet). Hier der Beitrag dazu von woanders (3. Beitrag. allerdings auf Englisch):
https://forums.servethehome.com/index.php?threads/clarifying-ipv6-ula.34486/


Hoffe, das gibt den Anstoß...ist unter pfsense ganz anders (auch wenn virtuelle IPs auch hier eine Rolle spielen) in der GUI untergebracht, aber so what...

 

[Confluencer]

Ich wäre überrascht wenn die VirtualIPs in Form einer CARP ivp6 à la fd00::abc/128 helfen würden ULAs im OPNsense LAN zu verteilen.

Trotzdem vielen Dank für den Input! Scheinbar braucht es hier wirklich jemanden der OPNsense im Einsatz hat und das schon gelöst hat.

@Barungar magst Du mir hier auf die Sprünge helfen?

Update: ich hätte mir auch mal den zweiten Link anschauen sollen, der sieht schon vielversprechender aus. Wobei es schon etwas verwirrend ist das man das über einen VirtualIp Alias mit der ULA Range, die man vergeben will, lösen muss.

 

[Confluencer]

Da war ich vorhin zu voreilig. Ich hatte nur an die CARP IP gedacht und deshalb den Zweiten Link nicht angesehen. Da war meine mangelnde Vorstellungskraft im Weg.

Es geht tatsächlich über einen IP Alias.


Restart von radvd und die Clients im OPNsense LAN haben plötzlich eine ULA.
Die wird zwar noch nicht geroutet, aber das kann dann ja auch nicht weiter schwer sein.

 

[Confluencer]

Okay das mit dem Routing war jetzt auch unkompliziert:

In OPNsense unter Service Router Advertisements:

• Advertise Routes
  • Prefix
    • fd00::
    • Length: 64

In der FB eine statische Ipv6 Route:

• IPv6 Netzwerk: fd00:1::0
• Prefixlänge: 64
• Gateway: fd00::250 (carp ip mit /128 angelegt)

Ping von FB LAN zu OPNsense LAN klappt, umgekehrt auch.
Ping von FB LAN auf CARP ipv6 fd00::250 klappt, aus OPNsense LAN klappt es nicht.

​

 

[tiermutter]

Jetzt wo ich eh schon zu spät bin wollte ich fast anmerken, dass du wahrscheinlich einen Haken vergessen hast...
Früher hieß die Option noch "Allow service binding" und musste für die meisten Fälle entsprechend gesetzt werden... Nun ist die Option aber negiert und unchecked sollte für die meisten Fälle passen

 

[Confluencer]

Es hat noch eine Floating Rule gebraucht um die carp ipv6 aufzulösen. Jetzt ist alles schick.

Aber das die Lösung ein IP-Alias für das ULA-Netz ist wäre ich im Leben nicht gekommen, und hätte es auch nicht geglaubt, wenn es mir jemand erzählen würde, weil es gefühlt nicht die richtige Ecke für diese Konfiguration sein kann.

Danke nochmal für den Schubser @the other (auch wenn ich ihn zuerst nicht annehmen wollte) so ist er doch Gold wert!

 

[Confluencer]

Heute sogar noch mehr dazu gelernt. Ich hatte bisher immer eine separate ipv4 +ipv6 CARP ip.

Ich wusste gar nicht, dass man für ipv6 auch wieder einen IP-ALIAS verwenden kann und einfach die VHID Group des ipv4 Interfaces setzen kann. Die müssen eh gemeinsam geschwenkt werden.

Ist doch auch gleich viel hübscher, wenn sich ipv4 und ipv6 carp-ips dieselbe vrrp-mac 00:00:5E:00:01:0{VHID Group als Hex-Wert von 1-A)} teilen.