Configurazione IPv6 Pianeta Fibra Air/FTTC

itsmatteomanf · 4 set 2021

[cancellato] ho provato ad aprire completamente il firewall su IPv6, ho provato a disabilitare gli IP "fake" (che include il fe80::), ho spuntato quell'opzione.

Riesco a fare ping verso il gateway (che ha la stessa latenza del gateway IPv4, quindi ha senso sia giusto), ma poi non funziona altro.

Un ping verso IPv6 esterno:

00:17:16.696738 IP6 fe80::e63a:6eff:fe2f:8bb2 > 2606:4700::6812:1f5e: ICMP6, echo request, seq 0, length 16
00:17:16.710108 IP6 fe80::f0:b3c > fe80::e63a:6eff:fe2f:8bb2: ICMP6, destination unreachable, beyond scope 2606:4700::6812:1f5e, source address fe80::e63a:6eff:fe2f:8bb2, length 64

[cancellato] · 4 set 2021

itsmatteomanf Gli indirizzi fe80::/10 sono "link local", non sono ruotabili, quindi è normale che un ping ad un indirizzo fuori dal segmento L2 fallisca.
Devi usare uno degli indirizzi che ti vengono assegnati (entro il 2a02:29e0:108::/48 o 2a02:29e0:109::/48 direi, a guardare dalle descrizioni dei prefix) come sorgente altrimenti non andrai molto distante...

itsmatteomanf · 4 set 2021

[cancellato] quello che viene elencato lì è l’indirizzo che mi viene dato un automatico nel DHCPv6, non l’ho scelto io. Io pingo un IP esterno, dall’IP dell’interfaccia che non scelgo io, mi risponde il gateway che non è routabile.

Una singola occasione mi ha dato il primo IP del mio range /56.

[cancellato] · 4 set 2021

itsmatteomanf Perché l'interfaccia ha solo indirizzi IP link local, ma il sorgente da cui fai partire il ping deve essere un indirizzo globally-routable 2000::/3.
Prova a specificare come sorgente del ping l'interfaccia interna della tua rete, quella dovrebbe prendere (e ridistribuire) una /64 dentro al range /56 delegato.

itsmatteomanf · 4 set 2021

[cancellato] ci provo, ma comunque gradirei avere IPv6 anche dal firewall stesso, sia in uscita, ma soprattutto in entrata. A meno che usi gli IP delle interfacce locali, che però non mi quadra più di tanto.

Ma in alternativa non si può fare con IP statico, se si sa il gateway? Potrei provarci, in effetti.

edit messo un IP nel range, staticamente, ovviamente (no?) su una delle interfacce locali. Il ping non va lo stesso. Non c'è proprio risposta.

01:06:17.239403 IP6 2a02:29e0:xxxx:xx0a::1 > 2606:4700::6812:1e5e: ICMP6, echo request, seq 0, length 16

[cancellato] · 4 set 2021

itsmatteomanf I firewall, come qualunque altro apparato L3 multi-interfaccia, non hanno un IP, ne hanno svariati... almeno uno per interfaccia, o più come nel caso degli IPv6 dove avere almeno due indirizzi per if è normalissimo. Proprio per questo tutti permettono di scegliere l'interfaccia sorgente quando si fanno i test di connettività.

Per il tuo desiderio, la cosa che si dovrebbe fare con questo tipo di apparati è definire una interfaccia di loopback, che permette di raggiungere il dispositivo a prescindere dagli indirizzi punto-punto o punto-multipunto delle interfacce fisiche. Purtroppo Netgate non sembra pensarla così, quindi sarà da capire come impostare il source IP di default per le comunicazioni FW->WAN nel caso in cui il provider assegni solo indirizzi link local per la WAN. Taggo @hitech95 che con pfSense e un provider che assegna IPv6 (Sky) ci ha smanettato un bel po', magari ti può essere più d'aiuto.

EDIT: eh sì ok, ma le rotte? Nel senso, qual è il tuo default GW v6?

itsmatteomanf · 4 set 2021

[cancellato] I firewall, come qualunque altro apparato L3 multi-interfaccia, non hanno un IP, ne hanno svariati... almeno uno per interfaccia, o più come nel caso degli IPv6 dove avere almeno due indirizzi per if è normalissimo. Proprio per questo tutti permettono di scegliere l'interfaccia sorgente quando si fanno i test di connettività.

D’accordo. Il mio era un modo per semplificare. Non le interfacce locali hanno firewall che blocca IP non locali. L’interfaccia WAN ha altre policy, quindi io gradirei un IP pubblico lì. Poi si può aggirare.

[cancellato] eh sì ok, ma le rotte? Nel senso, qual è il tuo default GW v6?

Quello dato dal DHCPv6 (il monitoraggio dice viene assegnato fe80::f0:b3d), che risponde anche via ping al monitoraggio interno di pfSense. Non devo definirlo io (non mi viene neanche comunicato da PF, per ovvie ragioni, altrimenti per che motivo avrei DHCP? A quel punto lo faccio statico e via).

[cancellato] · 4 set 2021

itsmatteomanf le interfacce locali hanno firewall che blocca IP non locali. L’interfaccia WAN ha altre policy, quindi io gradirei un IP pubblico lì. Poi si può aggirare.

Gli IPv6 nel range 2000::/3 sono tutti pubblici, non esiste praticamente il concetto di "IP privato" e NAT in v6... cioè sì, esistono (ULA, fc00::/7 e NAT66) ma di fatto il loro uso è talmente particolare che non ha senso considerarlo.

itsmatteomanf Quello dato dal DHCPv6

Emmm... no, quello arriva dal RA (router advertisement), indipendentemente dal fatto che tu abbia indirizzo statico, link local, DHCP o SLAAC. Sì, IPv6 è una brutta bestia se lo prendi con la stessa mentalità di IPv4.

Prova un traceroute, vediamo se ti prende la strada giusta.

Ah, per i prefix... do per scontato che tu abbia letto la guida di PFSense, soprattutto per quanto riguarda le track interface, che le policy firewall consentano il traffico IPv6 e che il debug del DHCPv6 non ti dia più informazioni utili a capire cosa sta ricevendo dal provider.

itsmatteomanf · 4 set 2021

[cancellato] Gli IPv6 nel range 2000::/3 sono tutti pubblici, non esiste praticamente il concetto di "IP privato" e NAT in v6... cioè sì, esistono (ULA, fc00::/7 e NAT66) ma di fatto il loro uso è talmente particolare che non ha senso considerarlo.

Anche qui, ci siamo capiti, però nella LAN gli IP (tecnicamente pubblici) sono filtrati dal firewall. Quello della WAN non lo sarebbe.

[cancellato] Prova un traceroute, vediamo se ti prende la strada giusta.

Direi di si, ma poi non va oltre. Questo da LAN, ma anche qui, se faccio la track interface non ha un IP quindi parte da fe80::.

 1  * * *
 2  fe80::f0:b3d%pppoe0  14.213 ms !S  13.448 ms !S  13.236 ms !S

L'altro problema qui è che con il RA non mi prende IP sui device se ho la track interface, prima almeno quello l'avevo se mettevo IP statico sulla if della LAN.

[cancellato] · 4 set 2021

itsmatteomanf Non deve andare via pppoe0, ma nativamente sull'interfaccia WAN.

Prova a togliere la spunta da "Request IPv6 prefix through the IPv4 connectivity link".

itsmatteomanf · 4 set 2021

[cancellato] così facendo il gateway non mi risponde più… devi spuntare questa in questo caso perché almeno te ne venga assegnato uno, pur non rispondendo ai ping.

[cancellato] Request only an ipv6 prefix

Il ping va dall'interfaccia giusta, senza PPPoE, ma nessuna risposta.

PING6(56=40+8+8 bytes) fe80::e63a:6eff:fe2f:8bb3%em5 --> 2606:4700::6812:1f5e

--- 2606:4700::6812:1f5e ping6 statistics ---
1 packets transmitted, 0 packets received, 100.0% packet loss

E...

There were error(s) loading the rules: /tmp/rules.debug:251: rule expands to no valid combination - The line in question reads [251]: pass in log quick on $WAN reply-to ( em5 fe80::f0:b3f ) inet6 proto ipv6-icmp from any to fe80::e63a:6eff:fe2f:8bb3%em5 tracker 1630591083 keep state label "USER_RULE"

[cancellato] · 5 set 2021

itsmatteomanf noi facciamo prefix delegation via dhcp. Devi configurare pfsense in modo che splitti, per esempio in /64 la rete e assegni ogni /64 ai dispositivi via dhcp. Entro qualche giorno usciranno guide per fritz e pianetafibra box. Su pfsense onestamente non saprei dirti non avendolo mai usato

itsmatteomanf · 5 set 2021

[cancellato] che è quello che stiamo cercando di fare... la domanda è, qual è il gateway che assegnate? Quello che mi arriva da DHCP/RA non sembra ruotare nulla.

itsmatteomanf · 5 set 2021

Aggiornamento:

IPv6 sulla LAN sembra configurato correttamente.
mi vengono assegnati IP nel range assegnatomi.
riesco a fare ping all'interfaccia e vedo i pacchetti in uscita verso l'esterno.
non ricevo alcuna risposta da questi ping e non vedo nemmeno la risposta che mi indicava prima.

A questo punto vediamo se @hitech95 ha idee e se le guide che @[cancellato] pubblicherà per altri firewall chiariscono qualcosa...

LLSan83 · 5 set 2021

nanomad Altrimenti @LSan83 ci può dire come l'ha impostato su mikrotik

Sto ancora testando la configurazione (funziona ma trovo ancora dei problemi che sto cercando di risolvere e sopratutto di capire dove sono: router, client o altro....). In ogni caso su Mikrotik 6.47.10 (l'ultima versione long term per la massima stabilità) al momento ho impostato così:

La connessione PPPoE di default gestisce solo IPv4
Creato un client DHCPv6 sopra la PPPoE per prendere il prefix /56 con prefix hint uguale alla classe ipv6 assegnata, aggiunta di "default route" con distanza 1 e richiesta di indirizzi DNSv6 (che non vengono affatto presi in automatico a differenza dei v4)
Creazione di un pool di indirizzi xxyy::/64 per ognuna delle mie VLAN (dove xx è la classe /56 e yy la sottoclasse /64)
Assegnazione di un indirizzo :xxyy::1/64 ad ognuna delle interfaccie principali delle VLAN dal relativo pool con impostato l'advertise per il RA (impostazioni ND di default)
Aggiunta degli indirizzi DNSv6 all'elenco dei DNS (che è unico sotto il menu IPv4). I DNSv4 vengono gestiti dal gateway che tiene una cache delle richieste, i DNSv6 vengono direttamente inoltrati al server DNS ogni volta.
Configurazione Firewall v6 di default già presente quando resetti il Mikrotik con il pacchetto ipv6 attivo (su ROS 6.4x.x è disattivo di default, attivandolo il firewall v6 non si popola, bisogna fare un reset completo del router).

edofullo · 5 set 2021

itsmatteomanf Metti lo screen della pagina con le rotte.

Ocio a disabilitare i link local perchè benchè sconsigliato dal RIPE sono perfettamente validi come next-hop in IPv6, a patto di specificare l'interfaccia di uscita.

Come vediamo nella config di LSan83 pianetafibra usa questa configurazione.

itsmatteomanf Il ping va dall'interfaccia giusta, senza PPPoE, ma nessuna risposta.

No, quella interfaccia non ha IP routabile e non può pingare (eccetto l'altro capo della P2P), il ping deve partire dalla lan (oppure devi dire al pfsense di pingare dall'interfaccia di LAN che ha IP pubblici)

Questa è una conseguenza di aver lasciato il link di wan unnumbered

LSan83 Creazione di un pool di indirizzi xxyy::/64 per ognuna delle mie VLAN (dove xx è la classe /56 e yy la sottoclasse /64)

Se gli metti Pool Prefix Length 64 dovrebbe crearti lui i 256 pool /64 dalla tua /56 in automatico

LLSan83 · 5 set 2021

edofullo Se gli metti Pool Prefix Length 64 dovrebbe crearti lui i 256 pool /64 dalla tua /56 in automatico

Si, ma da quel che ho capito (e potrei sbagliarmi) a quel punto mi fa creare un unico e solo "pool" da cui tutte le vlan attingono, visto che un secondo pool mi darebbe errore (una /64 è già inclusa nel pool /56).
Ed è esattamente la situazione della configurazione "base" da manuale... un solo pool creato in automatico dal client DHCPv6.
Mentre se mi imposto il /64 relativo alla singola VLAN, sono sicuro che quella vlan si prende quel /64 specifico.

edofullo · 5 set 2021

LSan83 Si, ma da quel che ho capito (e potrei sbagliarmi) a quel punto mi fa creare un unico e solo "pool" da cui tutte le vlan attingono, visto che un secondo pool mi darebbe errore (una /64 è già inclusa nel pool /56)

In teoria dovrebbe crearti 256 pool, poi quando vai a mettere l'IP alla VLAN gli metti il campo 'from pool' e ti compila lui il prefisso, non dovrebbe cambiare.

In teoria... poi TIM delega della /64 quindi non ho mai provato.

itsmatteomanf · 5 set 2021

LSan83 con prefix hint uguale alla classe ipv6 assegnata

Questo su pfSense non so se si può fare... il campo per scriverlo non c'è, si può segnare solo che è un /56.

il resto è ok, i DNSv6 li avevo già, le LAN se segno track interface non funzionano, ma probabilmente perché non ricevono mai il range corretto su cui fare il tracking.

edofullo Metti lo screen della pagina con le rotte.

Ho sotto quella della LAN con il /64 assegnatole, ma non è il default.

Io non ho disabilitato i next-hop con il link-local, lo usa, ma poi non viene ruotato fuori e non fa nulla. Io al gateway di PF arrivo, ma ovviamente non essendomi assegnato un IP routabile, poi non va da nessuna parte. Ma se anche forzo l'IP routabile sull'interfaccia LAN e pingo da quella, non fa nulla.

// da WAN
PING6(56=40+8+8 bytes) fe80::e63a:6eff:fe2f:8bb2%pppoe0 --> fe80::f0:b47%pppoe0
16 bytes from fe80::f0:b47%pppoe0, icmp_seq=0 hlim=64 time=13.399 ms
16 bytes from fe80::f0:b47%pppoe0, icmp_seq=1 hlim=64 time=13.231 ms
16 bytes from fe80::f0:b47%pppoe0, icmp_seq=2 hlim=64 time=13.249 ms
16 bytes from fe80::f0:b47%pppoe0, icmp_seq=3 hlim=64 time=13.368 ms
16 bytes from fe80::f0:b47%pppoe0, icmp_seq=4 hlim=64 time=13.359 ms
16 bytes from fe80::f0:b47%pppoe0, icmp_seq=5 hlim=64 time=13.258 ms
16 bytes from fe80::f0:b47%pppoe0, icmp_seq=6 hlim=64 time=13.354 ms
16 bytes from fe80::f0:b47%pppoe0, icmp_seq=7 hlim=64 time=13.451 ms
16 bytes from fe80::f0:b47%pppoe0, icmp_seq=8 hlim=64 time=13.374 ms
16 bytes from fe80::f0:b47%pppoe0, icmp_seq=9 hlim=64 time=12.996 ms

--- fe80::f0:b47%pppoe0 ping6 statistics ---
10 packets transmitted, 10 packets received, 0.0% packet loss
round-trip min/avg/max/std-dev = 12.996/13.304/13.451/0.123 ms

// da LAN con IP assegnato
PING6(56=40+8+8 bytes) 2a02:29e0:109:xx0a::1 --> fe80::f0:b47%pppoe0

--- fe80::f0:b47%pppoe0 ping6 statistics ---
10 packets transmitted, 0 packets received, 100.0% packet loss

Sembra quasi ci sia un errore di configurazione lato server che non mi assegna il range giusto, ma mi trovo in difficoltà a dubitare di @[cancellato]. Hai altri clienti sullo stesso BRAS con IPv6 attivo e funzionante? Dubito, dato che l'hai configurato apposta per me...

Potrei provare a tentare la configurazione con FRITZ!Box così da bypassare errori miei nel pfSense, ma sarà nel pomeriggio e comunque non ci sono poi tante impostazioni da mettere.

edofullo · 5 set 2021

itsmatteomanf ma poi non viene ruotato fuori e non fa nulla

Questo è corretto così

itsmatteomanf PING6(56=40+8+8 bytes) 2a02:29e0:109:xx0a::1 --> fe80::f0:b47%pppoe0

Anche questo è corretto così

itsmatteomanf DHCPv6 funziona vero? Prova a distribuire una /64 alla lan e da uno dei dispositivi nella LAN fare il ping (verso 2001:4860:4860::8888) e fare un tcpdump sulla pppoe, vediamo cosa esce e se gli IP sono corretti.