IPv6 bei FTTH und statischer IPv4 Adresse (Region Burgdorf / Localnet)

Byteschubser

Hallo Zusammen

Meine Netzsituation ist folgende:

FTTH Anschluss / Huawei Modem im Bridge Modus / Cisco 897 Router / statische IPv4 Adresse manuell konfiguriert

Der Quickline Support hat mir auf Nachfrage den IPv6 Range per SMS geschickt. Dieser lautet xxxxx:2e00::/56. Für mein Verständnis sind das 256 Netze mit /64 also xxxxx:2e00::/64 xxxxx:2e01::/64 u.s.w. Entweder habe ich ein völlig falsches Verständnis oder es liegt irgendwo ein Fehler vor: Konfiguriere ich auf das externe Interface eine ipv6 Adresse aus dem Bereich xxxx:2e00::/64 funktioniert die IPv6 Verbindung ins Internet. Wenn ich aber eine Adresse aus dem nächsten /64er Range nehme - xxxx:2e01::/64 funktioniert die IPv6 Verbindung nicht mehr. Als Gateway habe ich FE80::1 und die reguläre IPv6 Adresse (auch per SMS bekommen) versucht - nix.

Auf das Problem gestossen bin ich, da ich das IPv6 Routing nicht hinbekommen habe. Der Testaufbau ist wie folgt:

externe IPv6 am Router: xxxx:2e00::1/64

interne IPv6 am Router: xxxx:2e01::1/64

Client IPv6: xxxxx:2e01::2/64

Ich kann vom Client jeweils das interne und auch das externe Interface meines Routers anpingen aber weiter komme ich nicht. Das sind sozusagen meine ersten Gehversuche im IPv6 Umfeld. Trotzdem bin ich der Meinung, das sollte funktionieren. Wozu sonst eine /56 Delegation wenn ich kein Subnetting machen kann?

Habe ich ein Verständnisproblem bei IPv6?

Danke und schöne Grüsse

Uwe

MarkusQuick

Hallo,

Richtig, ein Präfix /56 bedeutet 265 /64 Netze und kann auch so genutzt werden.

Dein Router bekommt normalerweise per DHCPv6 vom Provider den Prefix zugeteilt und der WAN-Port bekommt per Router Advertisements eine IPv6-Adresse die NICHT in deinem zugeteilten Adressbereich ist. Der WAN-Port sollte nicht manuell gesetzt werden.

Deine internen Ports kannst du dann als /64 Netze konfigurieren oder VLAN nutzen. Durch das Konfigurieren der internen Netze sollte dein Router auch automatisch die Routing Tabellen richtig anlegen.

Was du aber wohl beim Cisco Router zusätzlich machen musst, sind die Security Rules (Firewall) richtig zu setzen.

Byteschubser

Hallo MarkusQuick

Leider nein.

Ich habe die manuelle IPv6 Adresse auf dem externen Interface weggenommen. Mit der Option ipv6 address dhcp bekomme ich auf dem WAN Interface genau die gleiche wie ich manuell konfiguriert hatte - xxxx:2e00::1 allerdings mit /128

xxxxxx:2E00::1, subnet is xxxxxx:2E00::1/128

Mit der Option ipv6 address autoconfig bekomme ich die automatisch generierte IPv6 Adresse aus Prefix und MAC Adresse des Interfaces

xxxxxx:2E00:72EA:1AFF:FE4E:yyyy, subnet is xxxxx:2E00::/64 [EUI/CAL/PRE]

Mit beiden Konfigurationsvarianten bekomme ich eine IPv6 Adresse aus dem /56 Range

Viele Grüsse

Uwe

MarkusQuick

Ein Router soll ja 2 oder mehr getrennte Computernetze verbinden (routen). Von da her muss das WAN-Interface eine Adresse aus dem Netz des Providers erhalten. /128 ist richtig, d.h. das ist GENAU 1 IPv6-Adressse (vollständige 128 Bit).

Die LAN/VLAN Interfaces werden bei mir aus Prefix Delegation (/56) plus manueller Konfiguration des Subnetzes plus Adresse konfiguriert.
Z.B. vom DHCPv6 erhaltener Prefix 2a01:8b81:aabb:cc00::/56 plus manuelle Konfiguration für LAN1 ::1:0:0:0:1 ergibt die Interface Adresse 2a01:8b81:aabb:cc01:0:0:0:1. Dazu generiert sich der Router eine Link Local Adresse fe80:: plus MAC Adresse und diese Adresse ist dann auch die Gatewayaddresse für alle Geräte im LAN1.

Aber die WAN Addresse müsste m.M.n. zwingend ausserhalb des erhaltenen /56 Adressebereichs liegen.

Ev. auch mal den Router stromlos machen und neustarten. Mein Zyxel USG holt sich die Adressen und Präfixe vom Provider nur genau einmal und zwar beim Booten des Routers, egal was ich nachher konfigurieren.

PS: Falls du wirklich statische Adressen bei Quickline bestellt hast, kannst du natürlich LAN/VLAN auch manuell mit diesen statischen Adressen konfigurieren. Aber von Prinzip her müsste WAN und LAN immer ein anderes Netz sein.

Byteschubser

Ich habe eine statische IPv4 Adresse am WAN Interface. Ich hoffe, dass IPv6 auch statisch ist. Wenn nicht, kann ich die Übung abbrechen…

Zum eigentlichen Problem: Die Information, dass xxxxx:2e00::/56 meine Delegation ist, halte ich nun ziemlich sicher für falsch. Das WAN Interface bekommt ja aus xxxxx:2e00::/64 eine IPv6 Adresse. Weiterhin habe ich die IPv6 Pakete etwas debuggt um zu schauen, was da so alles los ist. Und da haben wir wohl des Rätsels Lösung:

Dec 17 16:07:56.520: IPv6 DHCP: Sending RENEW to FF02::1:2 on GigabitEthernet8

Dec 17 16:07:56.520: IPv6 DHCP: DHCPv6 changes state from OPEN to RENEW (TIMEOUT) on GigabitEthernet8

Dec 17 16:07:56.536: IPv6 DHCP: Received REPLY from FE80::1 on GigabitEthernet8

Dec 17 16:07:56.536: IPv6 DHCP: detailed packet contents

[…]

Dec 17 16:07:56.536: option DNS-SERVERS(23), len 16

Dec 17 16:07:56.536: FE80::1

Dec 17 16:07:56.536: option IA-PD(25), len 41

Dec 17 16:07:56.536: IAID 0×000E0001, T1 1800, T2 2880

Dec 17 16:07:56.536: option IAPREFIX(26), len 25

Dec 17 16:07:56.536: preferred 3600, valid 7200, prefix xxxxxxx:2E01::/64

Somit habe ich keine /56 Delegation sondern nur eine /64

MarkusQuick

Ob du wirklich statisch zugeordnete Adressen erhälst, siehst du in deinem Vertrag. Kostet auch min. Fr. 20.- zusätzlich pro Monat. Ansonsten sind es Adressen aus einem dynamischen Pool, welche aber meistens sehr selten ändern. (Hinweis: Einen Mailserver wirst du so oder so nicht betreiben können, falls du sowas geplant hast.)

Und falls deine Prefix Delegation x:x:x:2e00::/56 ist, ist es ja ok, wenn dein LAN1 vom DHCPv6 Server deines Router ein Prefix von x:x:x:2E01::/64 bekommt. Das ist ein /64 Subnet. Kommt halt jetzt drauf an, an welchem Interface du mitschneidest.

2e00, 2e01, 2e02 etc bis 2eff sind deine /64 Subnetze.

Byteschubser

GigabitEthernet 8 ist das externe Interface. Das ist ja der Grund warum ich die Korrektheit der Aussage “die Delegation ist xxxx:2e00::/56” bezweifele. Das externe Interface bekommt eine Adresse xxxx:2e00::/64 - was gemäss deiner ersten Aussage nicht sein soll. Da habe ich verstanden, dass das externe Interface keine Adresse aus der Delegation erhält.

Ganz abgesehen vom DHCP Debug, welcher xxxxxxx:2E01::/64 als Delegation ausgibt

Aber egal, das eigentliche Problem ist nicht gelöst. Mit dem xxx:2e01::/64 kann ich arbeiten. Meine internen VLANs haben nun halt keine /64 sondern als Workaround /67 - immer noch mehr als genug Adressen.

MarkusQuick

Ich kann natürlich nicht beurteilen, ob Quickline bei dir einen Fehler gemacht hat. Auf jeden Fall solltest du am Ende eine /56 Prefix Delegation bekommen, dafür bezahlst du ja auch.

Was ich sicher nicht empfehlen würde, sind LAN/VLAN mit /67 Prefix. Auch wenn das mit IPv6 Spez. grundsätzlich geht, sind eigentlich alle Geräte und Einstellungen darauf ausgelegt, die vorderen 64 Bit als Hostteil und die hinteren 64 Bit als Geräteteil zu verwenden. Weicht man davon ab, gehen dann so Sachen wie SLAAC, spez. SLAAC mit Privacy Extension nicht mehr richtig.

Ansonsten kann ich noch das Forum https://administrator.de empfehlen, dort gibt es auch ausgewiesene Netzwerk- und auch Cisco Spezialisten.

Byteschubser

Ja, hab ich gelesen, dass im IPv6 /64 der Standard ist.

Leider ist der Support (jedenfalls diesbezüglich) keine Hilfe. Man sagt mir, sie schauen direkt auf dem Modem nach und lesen die IP-Adresse vor. Aber so wirklich glaube ich das nicht. Warum soll auf dem Router im Bridge Modus eine IP Adresse drauf sein? Das ist ja der Sinn des Bridge Modus, dass die IP Adresse eben nicht dort sondern auf meinem Router ist.

MarkusQuick

Im Bridge Mode hat das Modem keine IP mehr, das stimmt schon. Aber beim FTTH Modem ist (gem. einem anderen Forenbeitag) offenbar nur 1 Port im Bridge Mode, die anderen Ports sind angeblich noch normal mit DHCP und IPv4 NAT etc.

Das lässt natürlich die Frage offen, was der Support Mensch genau für eine IP meinte. Und ob das Modem wirklich im Bridge Mode ist oder du ev. nur am falschen Port angeschlossen hast.

Ich würde den Support nicht per Telefon kontaktieren, die haben da einfach zu wenig technisches KnowHow.

Ich würde mir per Mail nochmal klar schriftlich bestätigen lassen, wie dein Anschluss konfiguriert ist:

Statisch oder dynamische Adresse
Bridge Mode aktiv
WAN IPv6 Adresse / IPv6 Prefix Delegation (sofern du wirklich statische IP-Adressen hast, sonst kommen sie vom Pool per DHCP)

Ausserdem nochmal zurückkommend auf die Tatsache, dass die WAN-Port-Adresse einem anderen Netzbereich zugehören muss als dein Prefix Adressbereich für das LAN, habe ich hier einen Beitrag gefunden:
https://serverfault.com/questions/997064/routed-ipv6-range-and-wan-ipv6-range-in-different-subnets

Der Fragesteller hat hier zwar offenbar ein /48 Prefix und auf dem WAN einen /64 Bereich, aber sinngemäss geht es um die Frage, warum beide Netze getrennt sein müssen. Ich z.B. habe beim WAN /128 und beim Prefix /56.