pfSense am Anschluss der DeutschenGlasfaser bekommt keine IPv6 Konnektivität mehr

Hallo liebe Mitglieder,

ich habe ein für mich nicht mehr ganz begreifbares Problem. Wir nutzen für eine Schule seit Ende letzten Jahres einen Anschluss der Deutschen Glasfaser. An diesem hängt eine pfSense Installation (2.4.5-RELEASE (amd64)) für diverse Zwecke, u.a. auch VPN. Bisher hat das Ganze über die im Internet auffindbare 6rd Konfiguration sehr gut funktioniert. Die Glasfaser ist über den "eigenen Router" informiert und grundsätzlich geht (ging) der Anschluss auch (Bandbreite etc. alles ok)

Eingestellt auf WAN ist:

6rd Prefix 2A00:61E0::/32

6rd Border relay 100.127.0.1

6rd IPv4 Prefix length 8

Seit ca. Mitte April bekomme ich keine Verbindung mehr über IPv6 zustande. Das automatisch berechnete IPv6 Gateway ist nicht pingbar (das IPv4 GW schon) Aus Verzweiflung habe ich eine Fritzbox an den Anschluss gesteckt und nach DGF Vorgabe konfiguriert. Hier klappt es mit IPv6. Interessanterweise kommt hierbei ein 2A00:6200:xxxx:xxxx / 56 Prefix um die Ecke. Ich weiß nun nicht ob die Fritzbox 6rd oder DHCPv6 macht, meine aber einen Haken bei 6rd gesehen zu haben.
Mit der pfSense bekomme ich weder mit 6rd noch mit DHCPv6 eine IPv6 Verbindung. v4 geht einwandfrei.

Eine Anfrage ist seit Freitag an die DGF raus. Leider noch unbeantwortet.

Da die VPN-Sache gerade in der jetzigen Zeit natürlich äußerst wichtig ist habe ich mir gedacht, ich frage hier einmal nach. Vielleicht gibt es ja andere Nutzer, die ein ähnliches Problem bereits haben / hatten.

Kann man der Fritzbox vielleicht irgendwie den Prefix / BR etc. entlocken? Bin für jeden Tip dankbar (erweiterte Linux Kenntnisse vorhanden)

Danke & Grüße
Andreas

Moin,

den Thread habe ich gelesen. Da es hier aber darum ging, dass auch die Fritzbox keine Verbindung bekam, habe ich das nicht in Zusammenhang stellen wollen.

Ich habe einen TCPDump (tcpdump -i xxx -nvv port 67 and port 68) mitlaufen lassen und habe dort beim v4 Handshake keine Option 212 entdeckt. Was ich nicht ganz verstanden habe, frage die pfSense die Option 212 automatisch ab wenn ich auf 6rd stelle oder muss ich das in den Advanced-Options erst aktivieren?

Die Fritzbox bekommt es ja hin (siehe Anhang), also denke ich, dass ich etwas falsch eingestellt habe. Ich weiß nicht ob mir die DGF da diesbezüglich weiterhelfen kann. Offensichtlich scheint der Anschluss ja in Ordnung zu sein. Vielleicht hat jemand ein funktionierendes pfSense-DHCPv6 Beispiel, damit ich das vergleichen kann.

Danke schonmal für den Tip. Ich habe vorhin mal die Fritzbox angeschlossen und mit geschnitten. Ja die Vermutung war richtig, seit kurzem macht der Anschluss wohl DHCPv6. Die Fritzbox schickt einen Solicit und bekommt eine Reply darauf. Dort steht alles drin. Wenn ich die PFsense dran hänge sehe ich einen (mehrere) Solicit aber keine Antwort aus dem DG Netz. Muss ich nun etwas spezielles einstellen oder filtert die DG doch irgendwie auf eine bzw. die Fritzbox? Hab aber auch schon die Mac von der Fritzbox auf der PF eingetragen - das alleine hilft nicht.

Was kann ich jetzt machen? Ich habe das DHCP so eingestellt wie hier beschrieben ( https://beechy.de/deutsche-glasfaser-ipv6-vs-pfsense/ ) Aber damit bekomme ich keine Antwort aus dem Netz. Bevor ich jetzt die DG mit der Frage nach MAC-Filter o.ä. konfrontiere, würde ich nur gerne wissen, ob DG mit DHCPv6 so wie in der verlinkten Anleitung auch funktioniert.

Frame 1924: 185 bytes on wire (1480 bits), 185 bytes captured (1480 bits)
Ethernet II, Src: AVMAudio_xx:xx:d9 (f0:b0:14:xx:xx:d9), Dst: IPv6mcast_01:00:02 (33:33:00:01:00:02)
Internet Protocol Version 6, Src: fe80::f2b0:14xx:xxx:xxd9, Dst: ff02::1:2
User Datagram Protocol, Src Port: 546, Dst Port: 547
DHCPv6
    Message type: Solicit (1)
    Transaction ID: 0xa23b8f
    Elapsed time
        Option: Elapsed time (8)
        Length: 2
        Value: 0000
        Elapsed time: 0ms
    Client Identifier
        Option: Client Identifier (1)
        Length: 10
        Value: 00030001f0b014xxxxd9
        DUID: 00030001f0b014xxxxd9
        DUID Type: link-layer address (3)
        Hardware type: Ethernet (1)
        Link-layer address: f0:b0:14:xx:xx:d9
    Rapid Commit
        Option: Rapid Commit (14)
        Length: 0
    Identity Association for Non-temporary Address
        Option: Identity Association for Non-temporary Address (3)
        Length: 12
        Value: 14xxxxd90000000000000000
        IAID: 14xxxxd9
        T1: 0
        T2: 0
    Identity Association for Prefix Delegation
        Option: Identity Association for Prefix Delegation (25)
        Length: 41
        Value: 14xxxxd90000000000000000001a00190000000000000000…
        IAID: 14xxxxd9
        T1: 0
        T2: 0
        IA Prefix
    Reconfigure Accept
        Option: Reconfigure Accept (20)
        Length: 0
    Option Request
        Option: Option Request (6)
        Length: 18
        Value: 00170038001f001900030011005200530056
        Requested Option code: DNS recursive name server (23)
        Requested Option code: NTP Server (56)
        Requested Option code: Simple Network Time Protocol Server (31)
        Requested Option code: Identity Association for Prefix Delegation (25)
        Requested Option code: Identity Association for Non-temporary Address (3)
        Requested Option code: Vendor-specific Information (17)
        Requested Option code: SOL_MAX_RT (82)
        Requested Option code: INF_MAX_RT (83)
        Requested Option code: PCP Server (86)
    Vendor Class
        Option: Vendor Class (16)
        Length: 4
        Value: 00000368
        Enterprise ID: AVM GmbH (872)


Frame 1925: 231 bytes on wire (1848 bits), 231 bytes captured (1848 bits)
Ethernet II, Src: 02:00:00:00:00:10 (02:00:00:00:00:10), Dst: AVMAudio_xx:xx:d9 (f0:b0:14:xx:xx:d9)
Internet Protocol Version 6, Src: fe80::ff:fe00:10, Dst: fe80::f2b0:14ff:fexx:xxd9
User Datagram Protocol, Src Port: 547, Dst Port: 546
DHCPv6
    Message type: Reply (7)
    Transaction ID: 0xa23b8f
    Identity Association for Non-temporary Address
        Option: Identity Association for Non-temporary Address (3)
        Length: 40
        Value: 14xxxxd90000000000000000000500182a006020xxxxxxxx…
        IAID: 14xxxxd9
        T1: 0
        T2: 0
        IA Address
            Option: IA Address (5)
            Length: 24
            Value: 2a006020xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx
            IPv6 address: 2a00:6020:1000:13:xxxx:xxxx:xxxx:xxxx
            Preferred lifetime: 2250
            Valid lifetime: 3600
    Identity Association for Prefix Delegation
        Option: Identity Association for Prefix Delegation (25)
        Length: 41
        Value: 14xxxxd90000000000000000001a0019000008ca00000e10…
        IAID: 14xxxxd9
        T1: 0
        T2: 0
        IA Prefix
            Option: IA Prefix (26)
            Length: 25
            Value: 000008ca00000e10382a006020xxxxxxxxxxxxxxxxxxxxxxx…
            Preferred lifetime: 2250
            Valid lifetime: 3600
            Prefix length: 56
            Prefix address: 2a00:6020:xxxx:xxxx::
    Client Identifier
        Option: Client Identifier (1)
        Length: 10
        Value: 00030001f0b014xxxxd9
        DUID: 00030001f0b014xxxxd9
        DUID Type: link-layer address (3)
        Hardware type: Ethernet (1)
        Link-layer address: f0:b0:14:xx:xx:d9
    Server Identifier
        Option: Server Identifier (2)
        Length: 14
        Value: 000100011d9c43c4005056b97db1
        DUID: 000100011d9c43c4005056b97db1
        DUID Type: link-layer address plus time (1)
        Hardware type: Ethernet (1)
        DUID Time: Sep 28, 2015 20:30:28.000000000 Mitteleuropäische Sommerzeit
        Link-layer address: 00:50:56:b9:7d:b1
    Rapid Commit
        Option: Rapid Commit (14)
        Length: 0
    Reconfigure Accept
        Option: Reconfigure Accept (20)
        Length: 0
    DNS recursive name server
        Option: DNS recursive name server (23)
        Length: 32
        Value: 2a0060200100000000000000000000012a00602002000000…
         1 DNS server address: 2a00:6020:100::1
         2 DNS server address: 2a00:6020:200::1

Das mit der DUID habe ich versucht (ist änderbar), hat aber auch kein Erfolg gebracht. Ich warte mal auf die Antwort der DG. Ich hoffe es lässt sich einfach klären. Danke erstmal für die Unterstützung!

ich hatte im Wireshark nur auf "dhcpv6" gefiltert. Gibt es noch andere Kommunikation, die interessant wäre? Auf der dhcp(v4) Ebene hatte ich schon mal geschaut, da war im DHCP Handshake nichts ipv6-verdächtig.

RAs kommen ab und zu, aber da scheint die PFsense nicht darauf zu reagieren. Man kann die PFsense ja einstellen, dass sie nicht auf RAs wartet sondern direkt eine Anfrage absetzt. Was ja auffällt, die Fritzbox sendet gleich einen Sack von Request Options. Das scheint der ja irgendwie bekannt zu sein. Der Solicit der PFsense enthält dagegen praktisch keine Request Options.
Wenn ich die nächsten Tage etwas Zeit dafür finde, schicke ich mal ein paar selbst gebaute Solicits ab, um zu schauen ab wann die DG antwortet. Stück für Stück den der Fritzbox nachbauen - aus purer Verzweiflung und Neugier

übrigens: immer noch keine Antwort auf meine Anfrage (Email). Ich lass morgen mal die Hotline glühen.

So sieht das RA der DG aus, ein Hauch von Nichts, wie @alfalfa es bereits beschrieben hat:

00:00:00.000000 IP6 (class 0xe0, hlim 255, next-header ICMPv6 (58) payload length: 32) fe80::ff:fe00:10 > ff02::1: [icmp6 sum ok] ICMP6, router advertisement, length 32
        hop limit 64, Flags [none], pref medium, router lifetime 1800s, reachable time 0ms, retrans timer 0ms
          source link-address option (1), length 8 (1): 02:00:00:00:00:10
            0x0000:  0200 0000 0010
          mtu option (5), length 8 (1):  1500
            0x0000:  0000 0000 05dc

Hab gestern mit der Hotline telefoniert. Zitat: "klar Doku gibts, für die Fritzbox...." Nach meiner Nachfrage zu "technischen Details des Anschlusses", der Hinweis, das könne nur schriftlich angefragt werden. Die Telefonjoker wären hier technisch nicht informiert. Nachdem ich meinen Unmut über die mangelnden Informationen abgeladen hatte, hab ich dann aufgegeben.

Später gegen Abend kam dann tatsächlich eine Mail auf meine Anfrage vom Samstag: "..klar Haben wir" Mit dem Link auf die Anleitung, wie man den Anschluss am Beispiel einer TATAAAA: Fritzbox einrichtet. Das musste ich erstmal verdauen, bevor ich mich darüber aufregen konnte. Ich hab mich in diesem Zustand nicht getraut auf die Mail zu antworten.
Ja Fritzbox, total supi... Will ich aber halt nicht bzw. ist einfach keine Option.
Kaskadieren möchte ich auch nicht, aber ich bin fast soweit das in Betracht zu ziehen. Finde ich technisch ziemlich mau und kann nur die allerletzte Option neben Kündigung sein.

@alfalfa hatte nur am Samstag einmal kurz die Fritzbox dran. Wie schon gesagt, ich muss mal debuggen

Waishon Der Solicit der PFsense ist recht dünn. Hab dann manuell noch einen mit rapid-commit ergänzt. In beiden Fällen keine Antwort.

Frame 1: 86 bytes on wire (688 bits), 86 bytes captured (688 bits)
Ethernet II, Src: HewlettP_75:xx:xx (ac:16:2d:75:xx:xx), Dst: IPv6mcast_01:00:02 (33:33:00:01:00:02)
Internet Protocol Version 6, Src: fe80::ae16:2dff:fe75:xxxx, Dst: ff02::1:2
User Datagram Protocol, Src Port: 546, Dst Port: 547
DHCPv6
Message type: Solicit (1)
Transaction ID: 0x950afc
Client Identifier
Option: Client Identifier (1)
Length: 10
Value: 00030001ac162d75xxxx
DUID: 00030001ac162d75xxxx
DUID Type: link-layer address (3)
Hardware type: Ethernet (1)
Link-layer address: ac:16:2d:75:xx:xx
Elapsed time
Option: Elapsed time (8)
Length: 2
Value: 0000
Elapsed time: 0ms

Frame 1: 90 bytes on wire (720 bits), 90 bytes captured (720 bits)
Ethernet II, Src: HewlettP_75:xx:xx (ac:16:2d:75:xx:xx), Dst: IPv6mcast_01:00:02 (33:33:00:01:00:02)
Internet Protocol Version 6, Src: fe80::ae16:2dff:fe75:xxxx, Dst: ff02::1:2
User Datagram Protocol, Src Port: 546, Dst Port: 547
DHCPv6
Message type: Solicit (1)
Transaction ID: 0xac29c9
Client Identifier
Option: Client Identifier (1)
Length: 10
Value: 00030001ac162d75xxxx
DUID: 00030001ac162d75xxxx
DUID Type: link-layer address (3)
Hardware type: Ethernet (1)
Link-layer address: ac:16:2d:75:xx:xx
Rapid Commit
Option: Rapid Commit (14)
Length: 0
Elapsed time
Option: Elapsed time (8)
Length: 2
Value: 0000
Elapsed time: 0ms

Ursächlich kam ich ja von 6rd, was von einem auf den anderen Tag nicht mehr funktionierte. Nach wie vor kann ich bei 6rd Konfiguration das zugeteilte Gateway nicht erreichen, was mir immer noch ein Rätsel ist. Privat als auch in der Schule.

Aber DHCPv6 funktioniert nun doch. Ich konnte da erst wirklich dahinter steigen, seitdem ich meinen privaten Anschluss habe und ohne Beschränkung alle Option testen konnte. Leider war "die Lösung" nicht so ganz nahe liegend, da ich auch nach der Konfiguration von meinem (v)LAN als "Track Interface" keine Adresse bekam. Da ich an dieser Stelle meist wieder aufgegeben hatte, konnte ich auch nicht weiter kommen

Nach etlichen Suchanfragen konnte ich ein Forenbeitrag bei Netgate (pfSense) finden. Hier wurde aufgrund einer anderen Frage darauf hingewiesen, dass man bei der Aktivierung von "Track Interfaces" immer die Kiste erstmal durchbooten soll. (Wie soll man darauf kommen?) In der normalen Doku findet man da kein Wort drüber. Dazu kommt, dass viele schreiben, man soll die RA intern auf "Managed" stellen. Das traf bei mir auch nicht zu. Erst bei "assisted" fing das Teil an konsequent Adressen zu delegieren.

Letztendlich habe ich es aktuelle nicht mehr mitgeschnitten, aber es deckt sich mit euren, etwas verwunderten, Fragen. Es war nicht nachvollziehbar, warum hier eine "Nicht"-Kommunikation stattfindet. Was der Boot genau ändert, weiß ich bis heute auch noch nicht.

Trotz stundenlangen Probierens und Podcast hören und Doku lesen, komme ich jetzt erst so langsam an den Punkt ansatzweise zu Verstehen, was da im Hintergrund eigentlich passiert. Die Fritzbox ist halt diesbezüglich eine Blackbox - Einschalten und geht halt. Warum interessiert auch 90% der Nutzer nicht.

Insofern lag es nicht an der DG (sorry), sondern an meinem mangelhaften Verständnis von IPv6 und der nicht ganz transparenten pfSense.

Für meinen ursächlichen Usecase, der VPN Verbindung für die Schule, verstehe ich trotzdem nicht, warum ich kein DHCPv6 an der pfSense nutzen kann ohne v6 Adressen ins LAN zu blasen. Ich will ja nur, dass die pfSense eine v6 Adresse erhält, damit der OpenVPN Server erreicht werden kann. Warum ich dafür erst Clients brauche, verstehe ich nicht. Evtl. muss ich doch auch dort nochmal den RA Mode ändern.

Wahrscheinlich liegt es wieder am mangelnden KnowHow bzgl. ipv6, ich geb es ja zu. Ach, v4 war so einfach =)

Ich danke euch für die Unterstützung.