Over Arnie

We zijn weer een stapje verder. Samen met Telenet deze morgen de DHCPv6 server in mijn CV8560E terug op de default mode Stateful gezet. Gelijk vond er een goede DHCPv6 exchange plaats en ontving mijn Fritzbox terug een prefix. Alles werkt weer.   Bij wijze van test de Fritzbox afgekoppeld en de Mikrotik aangesloten. Ook die ontving gelijk een prefix.   Ik heb nu terug de Fritzbox aangesloten en in gebruik genomen. Alles lijkt goed te werken. Ik zal de timer in de gaten houden, om te zien of de prefix behouden blijft, maar het lijkt erop dat een renew nu goed werkt, en de timer zou moeten resetten wanneer nodig.   De default mode voor de DHCPv6 server is stateful, maar Telenet wijzigt die naar Stateless, omdat anders Android clients problemen ervaren. Wat goed voor Android is lijkt precies een probleem voor PD voor verschillende routers te zijn.   We bekijken de situatie eerst voor enige tijd, om te zien of dit stateful echt goed blijft werken, dan zal Telenet een keuze moeten maken hoe dit op te lossen. ... Meer weergeven

Juist, van GlennR hebben we een pcap van een werkende Mirkotik. Ik heb zelf ook een pcap kunnen maken met een Mikrotik (zelfde hw en sw) waarbij de prefix wel aangeboden wordt, maar daarna verdwijnt. Datzelfde verschijnsel zie ik ook bij de fritzbox, waarvan ook een pcap.   Ik heb deze pcaps al met Telenet gedeeld, waar dit maandag bekeken zal worden. De pcaps bevatten te veel mac en ip adres informatie om hier te kunnen delen.   De pcap van GlennR toont zover ik kan beoordelen geen initiele dhcpv6 exchange, maar de ongoing uitwisseling. Mijn pcap toont de startup, en dhcpv6 exchange. Het laatst onvangen packet van de CV8560E is een reconfigure, daarna komt er geen dhcpv6 packet meer uit de router, ondankt verschillende sollicit en renew request die mijn Mikrotik stuurt.   ... Meer weergeven

Ik heb mijn Fritzbox nu even vervangen door de Mikrotik. Na een factory reset van de CV8560E ontving deze keurig een prefix, en de clients achter de router scoren 10/10 op de ipv6 test. In de trace zie ik nu geen authentication options in de packets van de CV8560E. Het probleem wat ik met de Fritzbox heb is echter ook hier aanwezig. Na enige tijd (enkele minuten) wordt er niet op de renew packets geantwoord. Bijgevolg zal ook nu de prefix zijn houdbaarheids datum bereiken, en zal IPv6 stoppen te werken. Zeer merkwaardig waarom de CV8560E na verloop van tijd niet meer op DHCPv6 reageert. ... Meer weergeven

@GlennR was zo vriendelijk mij een pcap te sturen van zijn werkende IPv6 setup, gebruikmakende van een Mikrotik router. In deze trace zie ik geen authentication option in de uitwisseling van DHCPv6. Vermoedelijk is er toch sprake van een verschil in de config van onze CV8560E routers.   Ik zal straks anders eens een opnieuw een factory reset doorvoeren, en mijn eigen Mikrotik ipv Fritzbox proberen. Ik vermoed echter dat dit ook dan hetzelfde probleem gaat opleveren met authentication. ... Meer weergeven

Eigenlijk niet. Het is een echte router zonder wifi), aangeboden aan de mensen die voorheen een modem-only model hadden, en om verschillende redenen een ander device aangeboden krijgen (voorbeeld; replacement defect modem, of upgrade naar hogere snelheid).   In plaats van een modem-only biedt deze router als alternatief mac pass-through aan, voor IPv4 voor één mac-address. Hier bestaat een probleem voor ForitGate en enkele andere routers, die er voor kiezen om binnen het DHCP protocoal in hun request te vragen naar een broadcast antwoord. Dit is conform RFC, maar heel erg verouderd. De meeste routers van andere merken vragen naar unicast. Dat werkt goed. Om conform RFC beide modi te ondersteunen zal er een bug-fix komen voor de CV8560E.   De CV8560E is tevens een volwaardige IPv6 router, die niet enkel adressen aan de lokale client aan kan bieden, maar eveneens één /60 prefix aan een eigen router kan aanbieden. Hier zijn bij de meeste gebruikers problemen mee, wat nu onderzocht wordt, en in een ander thema op dit forum uitvoerig behandeld wordt. ... Meer weergeven

@Waterboy1602  schreef: Als ik het macadres van de FortiGate niet instel in de bridge functie, dan krijgt het via DHCP een IP-adres in de range van 192.168.0.2-254   Eenmaal ik het macadres wel invul, krijgt de firewall geen IP-adres meer toegewezen. Dan blijft het eindeloos proberen en geeft dan na een tijdje de melding dat het mislukt is om een IP-adres te verkrijgen. Mocht het niet lukken met MAC pass-through, dan kun je op mijn.telenet DMZ installen voor het adres toegekend aan de WAN port van je FortiGate (uit het 192.168.0.0/24 netwerk). Geen config wijziginen nodig op de FortiGate zelf. Dit zou je een werkende setup moeten geven. In plaats van een "eigen" publiek IP address voor de router deel je dan een ander publiek IP adress met andere apparaten op je eigen Telenet-LAN. Al het inkomend verkeerd wordt dan naar je FortGate gestuurd. Clients achter je FortiGate, of de router zelf zijn dan extern bereikbaar via de porten die opengezet hebt. Als je dynamic DNS gebruikt zou dit perfect moeten werken, onafhankelijk of je een publiek IP address verkregen hebt via MAC pass-through of niet. Het enige verschil is dat er dubbel NAT plaatsvind, maar daar zou je niet veel van mogen merken.     ... Meer weergeven

Misschien is het mogelijk op de D-link weer een downgrade uit te voeren? Gewoon om te zien of dan weer alles werkt. ... Meer weergeven

Betekent dit dat je FortiGate nu staat te wachten op een ipv4 adres, die beschikbaar komt na het fixen van de bug, of heeft deze wel een IP adres ontvangen? En mocht dit niet het geval zijn, heb je ook zonder mac pass-through geprobeerd? Wat is dan het resultaat? Ook geen IPv4 adres?   In dat geval zou je misschine toch beter af zijn geweest nog even de CH7465LG te blijven gebruiken.   ... Meer weergeven

@VinzzB  schreef:   EDIT: PD verdwijnt idd na instellen van Mac Pass Through. 😞 Heb je na de wijziging van het mac pass-through address een reconnect gedaan, of je router ge-reboot? Dit zou dan kunnen betekenen dat niet de wijziging zelf een probleem is, maar net als in mijn geval er op wijst dat de DHCPv6 packets van je router niet meer beantwoord worden.   Waarschijnlijk heb je een prefix ontvangen, waarna de router op authentication overschakeld. Je eigen router behoud die prefix, maar de timer loopt af. Wanneer je tijdens deze periode je router reboot, of de kabel voor een iets langere periode loskoppeld, dan gaat de prefix verloren, en wordt opnieuw aangevraagd. Dit faalt. Dit is in ieder geval mijn vermoeden na het zien van de packet-traces tussen mijn eigen router en de CV8560E. Mijn leraar zei vroeger altijd al "meten is weten". Dat is hier eigenlijk ook van toepassing. Het is belangrijk om te kijken welke packets over en weer gaan.     ... Meer weergeven

Bij mij is de timer (prefix "ten minste houdbaar tot") inmiddels afgelopen, en is IPv6 van achter mijn router niet langer mogelijk. 😞 De router zelf heeft nog wel IPv6 connectiviteit naar het internet, wat te verwachten was. Hiervoor is geen DHCPv6 nodig, deze adres- en default-route toekenning gebeurt via ICMPv6 (SLAAC).   Het toekennen van static IPv6 adressen aan clients achter je eigen router heeft geen zin. Zij kunnen dan wel packets naar het internet sturen, je gaat echter geen antwoorden kunnen ontvangen. Vanaf internet kunnen de retour packets tot aan de CV8560E geraken, die op zijn beurt weet dan niet waar zich het bewuste static adres bevindt.  Je zou dan een static ip-route op de CV8560E nodig hebben die de weg wijst via je eigen router. Deze static route kun je niet aanmaken, dus helaas...... Je heb echt Prefix Delegation nodig om dit werkend te krijgen, iets wat in principe ook goed werkt, maar nu lijkt de falen vanaf het moment dat de CV8560E aangeeft dat die authentication gaat gebruiken. Je eigen router volgt dit niet.   Ik ben tijdens deze test-fase het private 192.168.0.110 adres op de router blijven gebruiken. Ik heb bewust niets via mijn.telenet veranderd, om geen extra variabelen tijdens het trouble-shooten te introduceren.   ... Meer weergeven

  Hier is (een stukje) van de trace met de essentiele informatie. In de packets 2273 en 2705 is plots melding van authentication. Daarna zie ik alleen nog maar renew requests vanaf de Fritzbox die onbeantwoord blijven, zeer waarschijnlijk omdat ze niet over de juist authentication informatie beschikken. ... Meer weergeven

@Steven-E  schreef: PS: dus de WAN kant van de eigen router blijft altijd bereikbaar van buitenaf, maar de /60 niet he? Ook de /64 op de LAN interface van de router niet?   PS2: je hebt blijkbaar Secure-DHCPv6 en DHCPv6SEC. Die laatste laat volgens dit artikel een transparante uitwisseling van de encryptie key toe. Het eerste niet. Wat ondersteunt de Fritzbox?   De traces liggen al bij Telenet 🙂   Correct. Enkel de eigen router behoud zijn Ipv6 address, net als andere clients in het netwerkje van de CV8560E. De adres-toekenning verloopt via SLAAC (ICMPv6), niet DHCPv6. De router kan ook zelf nog ping6'en en is bereikbaar. Voor de prefix delegation wordt DHCPv6 gebruikt, en daar gaat het fout.   Ik weet (nog) niet welke vorm van authentication de Fritzbox ondersteund, als hij dat al doet. Deze boxes zijn hoofdzakelijk gericht opp de duitse ISP markt, waar ze ingezet worden als (DSL) edge router. Daar heb je eigenlijk geen authentication nodig, dus het zou me niet verbazen mocht dat niet geimplementeerd zijn. ... Meer weergeven

Correct. Oorspronkelijk werden de DHCPv6 Sollicit packets niet beantwoord, en kwam het niet tot een IPv6 Prefix Delegation. Na een factory reset van de CV8560E volgde opeens wel een DHCPv6 Advertise antwoord, en werd de nodige informatie uitgewisseld.   Status Code: Success (0)   Zowel de router zelf alsook achterliggende clients hebben nu ipv6 connectiviteit:     connected since 19.06.2020, 21:18, Cable modem or internet router, IPv6 Address: xxxx:xxxx:xxxx:xxxx:xxxx:xxxx:xxxx:xxxx, Valid for: 243553/70754s, IPv6 prefix: xxxx:xxxx:xxxx:xxxx::/60, Valid for: 233439/60639s     Ik heb nog geen veranderingen via mijn.telenet aangebracht. Ik heb dus nu geen mac pass-through. Het ziet er helaas naar uit dat de timer van de prefix afloopt, en dat er geen periodieke renews plaatsvinden. Ik zie de fritzbox wel DHCPv6 Renew request uitsturen, maar deze worden niet beantwoord.   Ik weet het niet zeker, maar vermoed dat het iets met authentication te maken heeft. Het laatst ontvangen DHCPv6 packet van de CV8560E is namelijk een Reconfigure packet met authentication informatie. Alle packets die de Fritzbox daarna stuurt bevatten geen authentication, en er volgen geen antwoorden meer van de CV8560E.     ... Meer weergeven

Als ik het goed begrijp gebruik je je huidige opstelling (met de CH7465LG) omdat je daarmee via DHCP een IPv4 adres op de WAN port van je Fortigate krijgt. Het berteft een private adres, waarna alles eerst door NAT voordat het op het internet landt. Port-forwarding voor inkoment traffic is geen optie, omdat je te veel rules en porten hebt. Correct?   Een CV8560E is geen optie, omdat je daarmee op de FortiGate WAN port geen IP adres kunt ontvangen, als gevolg van de bug.   In plaats van afzonderlijke port-forwarding rules voor de CH7465LG is het misschien een optie het IP addres van de FortiGate WAN als DMZ adres op te geven via mijn telenet? Alles gaat dan wel nog door NAT, maar je krijgt een 1-op-1 mapping. Het externe publieke IP adres wat je van Telenet krijgt is ook redelijk stabiel. Op je eigen router/firewll kun je dan NAT (of eigenlijk beter gezegd PAT) doen, en inkomend verkeer port afhankelijk naar verschillende devices sturen of filteren. Dat geeft verlopig dan toch een tijdelijke oplossing?   In de CV8560E setup is er voor zover ik beoordelen kan sprake van 2 DHCP servers. 1) de server in de CV8560E zelf, die default adressen uit het 192.168.0.0/24 netwerk verdeeld 2) een achterliggende DHCP server, die de MAC pass-through devices bedient. Zo lijkt het toch uit de traces. Betreft de bug beide scenarios? Mocht DHCP zonder MAC pass-through wel werken, dan kun je hier misschien ook kiezen voor de DMZ oplossing.     ... Meer weergeven

Gebruik je wel het juiste externe IP adres? Het is vreemd dat de test voor port 15999 ook niet werkt, terwijl dit naar een andere interne PC geforward wordt. Of stand die uit? Ik neem aan dat dit voor een ander doel is. Werkt dat nog wel? Misschien even heel kort je PC firewall uitschakelen, gewoon als test?   ... Meer weergeven