IPv6 op VLAN met Edgerouter-X en CH6643E

[TMalfrere]

Ik heb al heel wat afgelezen op dit forum maar ik heb IPv6 nog steeds niet werkend gekregen.
mijn opstelling:
1) wifi-router van Telenet (CH6643E) (denk ik)
2) 5 poort TP-Link switch

    a) digicorder

    b) omvormer zonnepanelen

    c) Edgerouter-X

Ik heb op mijn edgerouter 2 VLANs geconfigureerd: 1 private LAN en 1 voor wifi-guests
Ik slaag er niet in om een IPv6 verbinding tot op mijn PC's te krijgen op mijn VLANs.

Kan dit met een CH6643E?

Zo ja, hoe configureer ik dit?
Mijn edgerouter krijgt een IPv6 adres en een ping6 naar google.be werkt

de output van 'show interfaces' toont mij het volgende:

Codes: S - State, L - Link, u - Up, D - Down, A - Admin Down

Interface IP Address S/L Description

--------- ---------- --- -----------

eth0 192.168.123.128/24 u/u Internet

2a02:1812:xxxx:xxxx:xxxx:xxxx:xxxx:xx44/64

eth1 - u/D not used

eth1 - u/u voip

eth3 - u/u uplink

eth4 - u/u wifiAP

lo 127.0.0.1/8 u/u

::1/128

switch0 - u/u Local

switch0.3 192.168.3.1/24 u/u Private LAN

fd94:dfb4:423f:1:xxxx:xxxx:xxxx:xx49/64

switch0.101 192.168.101.1/24 u/u guest network

Het IP address aan de WAN kant ziet er goed uit maar dat op VLAN3 zie er een lokaal adres uit.

Bericht bewerkt door @igvfer reden: Publiek IPv6 prefix gemaskeerd (oranje gedeelte)

[Arnie]

Het lijkt op hetzelfde problem als wat met de CV8560E bestaat (en hierover bestaat een apart, en zeer aktief topic)

Als je de mogelijkheid hebt kun je misschien eens met wireshark kijken wat voor berichten er tussen de Edgerouter en de Telenet router uitgewisseld worden.

Je eigen router zou namelijk twee zaken moeten ontvangen:

1) een IPv6 adres voor de WAN, en informatie over default route, DNS etc. Dit geberurt via SLAAC (ICMPv6) en lijkt te werken, zodoende heeft je router zelf IPv6 connectiviteit.

2) een IPv6 prefix. Dit is zoals een subnet bij IPv4, en bedoelt om hieruit IPv6 adressen voor achterliggende client uit te delen. De Edgerouter ontvangt deze informatie via DHCPv6. De WAN port moet als DHCPv6 client geconfigureerd zijn.

Misschien kun je eens op het label van de router kijken om zeker te zijn welk type het is?

[igvfer]

@TMalfrere  Ik heb ook zo'n edgerouter X. Heb je de wizard gevolgd? Voor een extra LAN of VLAN moet je wel naast het toekennen van een IPv4 ook een IPv6 toekennen. Ik heb nog niet echt de tijd gevonden om alles uit te zoeken maar dit doe je door naast het IPv4 adress (bvb. 192.168.10.1) een IPv6 adress toe te kennen. Ik denk kommagescheiden. Bvb na elkaar 192.168.10.1, 2001:db8:1234:5612::1/56 in te vullen. Waar haal je dit? 2001:db8:1234:5612::1, het rode is de prefix die je ziet staan bij uw eth0 (internet) zonder de 2 laatste 00. De blauwe 12 is het netwerk ID dat je toekent aan je VLAN. De dubbele punt is de vervanging van allemaal nullen, de 1 is het adress van je interface. Eigenlijk ziet het adres van je interface zo uit: 2001:db8:1234:5612:0000:0000:0000:0001. De slash 56 (/56) is omdat Telenet /56 prefixen uitdeelt. Maar ik vermoed dat je dan ook een DHCP server moet instellen voor zowel de IPv4 (bijvoorbeeld begin 192.168.10.100 einde 192.168.10.200) en voor IPv6 En dat is dan bijvoorbeeld ::1000:001f. Dan pas zal je IPv6 werkend hebben op je VLAN. Normaal gezien zou je nu een IPv6 adres moeten krijgen op je hosts in de VLAN. Ook eens uitproberen zonder een een DHCPv6 server aan te duiden. Ik vermoed dat je dan via SLAAC gaat werken.

Ik probeer het nog eens uit te zoeken. Want ik ben er ook nog niet helemaal uit na al de perikelen omdat er totaal geen IPv6 was.

Het IPv6 adres dat ik hier voorstel is volledig fictief. 2001:db8::/32 is er alleen voor documentatiedoeleinden. Bestaat dus nergens ter wereld. Zie daarover: https://www.iana.org/assignments/iana-ipv6-special-registry/iana-ipv6-special-registry.xhtml 

[TMalfrere]

Ik heb de thread over de CV8560E ook gelezen en het lijkt mij ook zeer gelijkaardig. Maar gezien het zeer modem/router afhankelijk is heb ik toch de vraag gesteld.

In mijn Edgerouter-X config heb ik inderdaad ook een dhcpv6-dp geconfigureerd op de WAN interface.

Mijn verwachting is dat het eerste deel van het WAN IPv6 adres doorgegeven zou worden naar de geconfigureerde VLAN om daar te dienen als subnet.
Is dit een correcte veronderstelling? IPv4 ken ik van binnen en van buiten maar in DHCP op IPv6 ben ik niet zo thuis.

volgens het label van de router model: CH6643E

[TMalfrere]

@igvferIk zou inderdaad het begin van het IPv6 adres kunnen overnemen. Nog geen idee hoe dit precies te configureren. Maar dat is een detail.
Maar wie garandeert dat ik altijd hetzelfde IPv6 adres ga krijgen van Telenet? Als dit verandert kan ik mijn configuratie telkens aanpassen...

Ik zie nu dat mijn PC op mijn "private LAN" VLAN het adres fd94:dfb4:423f:1:xxxx:xxxx:xxxx:xxxx krijgt. Dit valt in hetzelfde subnet als het adres dat te zien is voor VLAN3 op switch0. Dus vermoed ik dat de verdeling van de subadressen wel werkt.
Enkel het doorgeven van het publieke prefix naar de VLAN3 werkt niet denk ik. Of maak ik hier een redereningsfout?

Met IPv4 kan/moet je op je eigen netwerk volledige privé addressen gebruiken en dan lost NAT de vertaalslag op. Maar op IPv6 heb je geen NAT, wie gaat dan de vertaalslag doen?

[Arnie]

---

@TMalfrere  schreef:

Met IPv4 kan/moet je op je eigen netwerk volledige privé addressen gebruiken en dan lost NAT de vertaalslag op. Maar op IPv6 heb je geen NAT, wie gaat dan de vertaalslag doen?

---

IPv4 kent een tekort aan adressen. Dit wordt opgelost via NAT, waarbij een volledig achterliggend subnet "vertaald" wordt naar één enkel IPv4 adres.

IPv6 adressen zijn langer, en daarom zijn er veel meer mogelijkheden. Hierdoor is er helemaal geen noodzaak voor NAT. In plaats daarvan worden de pakketjes gewoon ge-routeerd. De firewall functie van de router kan gebruikt worden om een achterliggend LAN te beschermen.

Voordeel is dat je met IPv6 (in tegenstelling tot bij IPv4 NAT) bijvoorbeeld meerdere webservers op je LAN kan hebben, en die allemaal open kan stellen via port 80. De combinatie ip-address:port is namelijk uniek voor elke server, omdat ze geen ip-adres delen.

Wat betreft de verandering van de prefix. Dat is niet strikt nodig, maar gebeurt inderdaad wel. Dat betekent dat de clients soms een iets ander IP adres zullen ontvangen. Voor de meeste gebruikers hoeft dit niet echt een probleem te zijn. Je kunt dyndns gebruiken.

[igvfer]

@TMalfrere  Ik vermoed dat de gegenereerde IPv6 adressen gewoon intern zijn. Je zal toch ergens op je VLAN moeten aangeven welke prefix er moet gebruikt worden. Ik probeer mee te zoeken maar ik ben een beginner in VLAN en moet dit zelf nog proberen aan de praat te krijgen op mijn edge router.

[TMalfrere]

@igvferbij deze mijn config met 2 VLANs. De wifi access-point heeft 2 netwerken en tagged de pakketten naar VLAN 192.168.3.x of 192.168.101.x

Linux EdgeRouter 3.10.107-UBNT #1 SMP Fri Feb 21 10:42:32 UTC 2020 mips
Welcome to EdgeOS
Last login: Fri Jul 10 16:13:50 2020
*******@EdgeRouter:~$ show configuration
firewall {
all-ping enable
broadcast-ping disable
ipv6-name WANv6_IN {
default-action drop
description "WAN inbound traffic forwarded to LAN"
enable-default-log
rule 10 {
action accept
description "Allow established/related sessions"
state {
established enable
related enable
}
}
rule 20 {
action drop
description "Drop invalid state"
state {
invalid enable
}
}
rule 30 {
action accept
description "allow ICMPv6"
protocol ipv6-icmp
}
}
ipv6-name WANv6_LOCAL {
default-action drop
description "WAN inbound traffic to the router"
enable-default-log
rule 10 {
action accept
description "Allow established/related sessions"
state {
established enable
related enable
}
}
rule 20 {
action drop
description "Drop invalid state"
state {
invalid enable
}
}
rule 30 {
action accept
description "Allow IPv6 icmp"
protocol ipv6-icmp
}
rule 40 {
action accept
description "allow dhcpv6"
destination {
port 546
}
protocol udp
source {
port 547
}
}
}
ipv6-receive-redirects disable
ipv6-src-route disable
ip-src-route disable
log-martians enable
name WAN_IN {
default-action drop
description "WAN to internal"
rule 10 {
action accept
description "Allow established/related"
state {
established enable
related enable
}
}
rule 20 {
action drop
description "Drop invalid state"
state {
invalid enable
}
}
}
name WAN_LOCAL {
default-action drop
description "WAN to router"
rule 10 {
action accept
description "Allow established/related"
state {
established enable
related enable
}
}
rule 20 {
action drop
description "Drop invalid state"
state {
invalid enable
}
}
rule 21 {
action accept
description "remote web management"
destination {
port 443
}
log enable
protocol tcp
}
}
name guest_in {
default-action accept
description "allow guest to DNS (pihole)"
rule 1 {
action accept
description DNS
destination {
address 192.168.3.11
port 53
}
log disable
protocol tcp_udp
}
rule 2 {
action drop
description other
destination {
address 192.168.3.11/24
}
log disable
protocol all
}
}
name guest_local {
default-action drop
description "No guest acces to edgerouter"
}
receive-redirects disable
send-redirects enable
source-validation disable
syn-cookies enable
}
interfaces {
ethernet eth0 {
address dhcp
description Internet
dhcpv6-pd {
pd 0 {
interface eth3 {
host-address ::1
prefix-id :3
service slaac
}
interface eth4 {
host-address ::1
prefix-id :4
service slaac
}
interface switch0 {
host-address ::1
prefix-id :1
service slaac
}
interface switch0.3 {
host-address ::1
prefix-id :5
service slaac
}
prefix-length 60
}
prefix-only
rapid-commit enable
}
duplex auto
firewall {
in {
ipv6-name WANv6_IN
name WAN_IN
}
local {
ipv6-name WANv6_LOCAL
name WAN_LOCAL
}
}
ipv6 {
address {
autoconf
}
dup-addr-detect-transmits 1
}
speed auto
}
ethernet eth1 {
description "not used"
duplex auto
speed auto
}
ethernet eth2 {
description voip
duplex auto
speed auto
}
ethernet eth3 {
description uplink
duplex auto
speed auto
}
ethernet eth4 {
description wifiAP
duplex auto
poe {
output pthru
}
speed auto
}
loopback lo {
}
switch switch0 {
description Local
mtu 1500
switch-port {
interface eth1 {
vlan {
pvid 3
}
}
interface eth2 {
vlan {
pvid 3
}
}
interface eth3 {
vlan {
pvid 3
}
}
interface eth4 {
vlan {
pvid 3
vid 101
}
}
vlan-aware enable
}
vif 3 {
address 192.168.3.1/24
description "Private LAN"
ipv6 {
address {
autoconf
}
dup-addr-detect-transmits 1
}
}
vif 101 {
address 192.168.101.1/24
description "guest network"
firewall {
in {
name guest_in
}
local {
name guest_local
}
}
}
}
}
port-forward {
auto-firewall enable
hairpin-nat enable
lan-interface switch0.3
rule 1 {
description VoIP
forward-to {
address 192.168.3.9
port 5004-5020
}
original-port *****-*****
protocol tcp_udp
}
rule 2 {
description SIP
forward-to {
address 192.168.3.9
port 5060
}
original-port *****
protocol tcp_udp
}
rule 3 {
description WebManagement
forward-to {
address 192.168.3.8
port 5001
}
original-port *****
protocol tcp
}
rule 4 {
description ResilioSync
forward-to {
address 192.168.3.8
port 28888
}
original-port *****
protocol tcp_udp
}
rule 5 {
description LetsEncrypt
forward-to {
address 192.168.3.8
port 80
}
original-port 80
protocol tcp
}
rule 6 {
description WebGUI
forward-to {
address 192.168.3.1
port 443
}
original-port *****
protocol tcp
}
rule 7 {
description Domoticz
forward-to {
address 192.168.3.11
port 18443
}
original-port *****
protocol tcp
}
rule 8 {
description FTP
forward-to {
address 192.168.3.8
port 21
}
original-port *****
protocol tcp
}
rule 9 {
description ssh/TELNET
forward-to {
address 192.168.3.11
port 22-23
}
original-port *****-******
protocol tcp_udp
}
rule 10 {
description "FTP PASV"
forward-to {
address 192.168.3.8
port 55536-55543
}
original-port *****-*****
protocol tcp
}
rule 11 {
description BitTorrent
forward-to {
address 192.168.3.8
port 16881
}
original-port *****
protocol tcp_udp
}
rule 12 {
description "Download station"
forward-to {
address 192.168.3.8
port 5000
}
original-port *****
protocol tcp
}
rule 13 {
description gigaset
forward-to {
address 192.168.3.9
port 80
}
original-port *****
protocol tcp_udp
}
wan-interface eth0
}
service {
dhcp-server {
disabled false
hostfile-update disable
shared-network-name DHCP_for_guests {
authoritative disable
subnet 192.168.101.0/24 {
default-router 192.168.101.1
dns-server 192.168.3.11
dns-server 192.168.3.1
lease 3600
start 192.168.101.11 {
stop 192.168.101.30
}
}
}
shared-network-name LAN2 {
authoritative enable
subnet 192.168.3.0/24 {
default-router 192.168.3.1
dns-server 192.168.3.11
dns-server 192.168.3.1
lease 86400
start 192.168.3.100 {
stop 192.168.3.199
}
static-mapping C475IP {
ip-address 192.168.3.9
mac-address **:**:**:**:**:**
}
static-mapping Orka {
ip-address 192.168.3.7
mac-address **:**:**:**:**:**
}
static-mapping RaspberryPi {
ip-address 192.168.3.11
mac-address **:**:**:**:**:**
}
static-mapping Whale {
ip-address 192.168.3.8
mac-address **:**:**:**:**:**
}
unifi-controller 192.168.3.11
}
}
static-arp disable
use-dnsmasq disable
}
dns {
dynamic {
interface eth0 {
service custom-noip {
host-name ***************.hopto.org
login ************
password ****************
protocol noip
}
web dyndns
}
}
forwarding {
cache-size 150
listen-on switch0.101
listen-on switch0.3
}
}
gui {
http-port 80
https-port 443
older-ciphers enable
}
nat {
rule 5010 {
description "masquerade for WAN"
outbound-interface eth0
type masquerade
}
}
ssh {
port 22
protocol-version v2
}
unms {
disable
}
}
system {
domain-name **************.hopto.org
host-name EdgeRouter
login {
user *********** {
authentication {
encrypted-password ****************
plaintext-password ****************
}
full-name *********
level admin
}
user ************ {
authentication {
encrypted-password ****************
plaintext-password ****************
}
full-name ************
level admin
}
}
ntp {
server 0.ubnt.pool.ntp.org {
}
server 1.ubnt.pool.ntp.org {
}
server 2.ubnt.pool.ntp.org {
}
server 3.ubnt.pool.ntp.org {
}
}
offload {
hwnat enable
ipsec enable
}
syslog {
global {
facility all {
level notice
}
facility protocols {
level debug
}
}
}
time-zone Europe/Brussels
traffic-analysis {
dpi enable
export enable
}
}