Configurazione IPv6 Pianeta Fibra Air/FTTC

[cancellato] ho provato ad aprire completamente il firewall su IPv6, ho provato a disabilitare gli IP "fake" (che include il fe80::), ho spuntato quell'opzione.

Riesco a fare ping verso il gateway (che ha la stessa latenza del gateway IPv4, quindi ha senso sia giusto), ma poi non funziona altro.

Un ping verso IPv6 esterno:

00:17:16.696738 IP6 fe80::e63a:6eff:fe2f:8bb2 > 2606:4700::6812:1f5e: ICMP6, echo request, seq 0, length 16
00:17:16.710108 IP6 fe80::f0:b3c > fe80::e63a:6eff:fe2f:8bb2: ICMP6, destination unreachable, beyond scope 2606:4700::6812:1f5e, source address fe80::e63a:6eff:fe2f:8bb2, length 64

[cancellato] quello che viene elencato lì è l’indirizzo che mi viene dato un automatico nel DHCPv6, non l’ho scelto io. Io pingo un IP esterno, dall’IP dell’interfaccia che non scelgo io, mi risponde il gateway che non è routabile.

Una singola occasione mi ha dato il primo IP del mio range /56.

[cancellato] ci provo, ma comunque gradirei avere IPv6 anche dal firewall stesso, sia in uscita, ma soprattutto in entrata. A meno che usi gli IP delle interfacce locali, che però non mi quadra più di tanto.

Ma in alternativa non si può fare con IP statico, se si sa il gateway? Potrei provarci, in effetti.

edit messo un IP nel range, staticamente, ovviamente (no?) su una delle interfacce locali. Il ping non va lo stesso. Non c'è proprio risposta.

01:06:17.239403 IP6 2a02:29e0:xxxx:xx0a::1 > 2606:4700::6812:1e5e: ICMP6, echo request, seq 0, length 16

[cancellato] I firewall, come qualunque altro apparato L3 multi-interfaccia, non hanno un IP, ne hanno svariati... almeno uno per interfaccia, o più come nel caso degli IPv6 dove avere almeno due indirizzi per if è normalissimo. Proprio per questo tutti permettono di scegliere l'interfaccia sorgente quando si fanno i test di connettività.

D’accordo. Il mio era un modo per semplificare. Non le interfacce locali hanno firewall che blocca IP non locali. L’interfaccia WAN ha altre policy, quindi io gradirei un IP pubblico lì. Poi si può aggirare.

[cancellato] eh sì ok, ma le rotte? Nel senso, qual è il tuo default GW v6?

Quello dato dal DHCPv6 (il monitoraggio dice viene assegnato fe80::f0:b3d), che risponde anche via ping al monitoraggio interno di pfSense. Non devo definirlo io (non mi viene neanche comunicato da PF, per ovvie ragioni, altrimenti per che motivo avrei DHCP? A quel punto lo faccio statico e via).

[cancellato] Gli IPv6 nel range 2000::/3 sono tutti pubblici, non esiste praticamente il concetto di "IP privato" e NAT in v6... cioè sì, esistono (ULA, fc00::/7 e NAT66) ma di fatto il loro uso è talmente particolare che non ha senso considerarlo.

Anche qui, ci siamo capiti, però nella LAN gli IP (tecnicamente pubblici) sono filtrati dal firewall. Quello della WAN non lo sarebbe.

[cancellato] Prova un traceroute, vediamo se ti prende la strada giusta.

Direi di si, ma poi non va oltre. Questo da LAN, ma anche qui, se faccio la track interface non ha un IP quindi parte da fe80::.

 1  * * *
 2  fe80::f0:b3d%pppoe0  14.213 ms !S  13.448 ms !S  13.236 ms !S

L'altro problema qui è che con il RA non mi prende IP sui device se ho la track interface, prima almeno quello l'avevo se mettevo IP statico sulla if della LAN.