Beiträge von glandulin

Hallo @alfalfa ,

der neue Router hängt nun 24 Stunden am ONT und bzgl. IPV4 passt alles, allerdings bekommt er weiterhin kein IPv6 Präfix bzw. Adressen. Die DUID lässt sich für das Interface als DHCP Client leider nicht ändern. Der DHCPv6 Server sendet weiterhin Fehlercodes 1 sowie 3 und der Client meldet "No IA_NA-opt in reply" bzw. "No IA_PD-opt in reply".

Hast du noch eine Idee? Oder einfach weiter abwarten, bis der DHCPv6 Server vielleicht wieder "gutgesinnt" wird?

Hallo Kalle ,

danke, sehr gerne. Genügt es wenn der RS123 dafür einfach nur „on“ ist und Netz via LTE? Andernfalls, wenn er am ONT hängen soll, müssten wir das fest terminieren, damit er mit einer Stunde Vorlaufzeit (Routerwechsel) zumindest mal die IPv4 erhält

Nachtrag, @alfalfa :

Leider kann man die DUID scheinbar nur im Bereich DHCPv6 SERVER ändern (Lokale Dienste->DHCPv6-Server->Konfiguration von zustandsbehafteten Clients->Neu) . Schade.

Danke, @alfalfa ,

das stimmt schon mal zuversichtlich… Tatsachlich kann man die DUID manuell generieren im Gerät.

Falls das nicht hilft hatte auch schon überlegt die MAC vom WAN Interface des RS123 manuell auf die der be.IP zu ändern um den DHCP so auszutricksen. Aber das macht anhand deiner Aussage dann wohl eher weniger Sinn.

Akzeptiert die DG eine Supportanfrage im Sinne von „Routerwechsel - bitte DHCPv6 zurücksetzen“ oder ähnlich?

Hallo frank_m

Also ich habe den Router jetzt nochmal über eine Stunde abgeklemmt vom ONT und dann die Einträge nach dem Anschließen aus dem Log gefischt:

1 2021-12-05 17:40:14 Error INET6 DHCPv6-client(en1-4): No IA_NA-opt in reply

2 2021-12-05 17:40:14 Error INET6 DHCPv6-client(en1-4): Received status: 3

1 2021-12-05 17:38:43 Information INET6 DHCPv6-client(en1-4): Sending Request-messages

2 2021-12-05 17:38:42 Information INET6 DHCPv6-client(en1-4): Sending Solicit-messages

3 2021-12-05 17:38:42 Information INET6 DHCPv6-client(en1-4): Starting

4 2021-12-05 17:38:42 Information INET6 DHCPv6-client(en1-4): Stopping

5 2021-12-05 17:38:42 Error INET6 DHCPv6-client(en1-4): Max number of Request-transmissions exceeded

6 2021-12-05 17:35:52 Information INET6 DHCPv6-client(en1-4): Sending Request-messages

1 2021-12-05 17:34:53 Error INET6 DHCPv6-client(en1-4): No IA_NA-opt in reply

2 2021-12-05 17:34:53 Error INET6 DHCPv6-client(en1-4): Received status: 1

3 2021-12-05 17:34:53 Error INET6 DHCPv6-client(en1-4): No IA_NA-opt in reply

4 2021-12-05 17:34:53 Error INET6 DHCPv6-client(en1-4): Received status: 1

5 2021-12-05 17:34:51 Information INET6 DHCPv6-client(en1-4): Sending Solicit-messages

6 2021-12-05 17:34:51 Information INET6 DHCPv6-client(en1-4): Starting

7 2021-12-05 17:34:38 Information INET6 NDISC: <en1-4>: Looking for routers

8 2021-12-05 17:34:38 Information INET6 NDISC: <1040000>: [fe80::2a0:f9ff:fe6a:4da6]: Auto-config succeeded (no conflicts detected)

9 2021-12-05 17:34:35 Information INET6 Interface <en1-4> becomes 'routable'

Kannst du da etwas bzgl. Router Advertising herauslesen, oder etwas anderes was hilfreich sein könnte?

Was mich auch wundert ist, dass Kalle ja erwähnt hat, dass die be.IP und der RS123 eigentlich auf der gleichen Software basieren. Insofern würde ich jetzt mal vermuten dass (da meine be.IP ja mit IPv6 korrekt läuft) der RS123 auch die richtige Anfrage an den DHCPv6 Server sendet...?

NACHTRAG: Könnte es denn schlichtweg auch sein, dass der DHCPv4 Server zwar (nach einer Stunde) einen Routerwechsel akzeptiert, der DHCPv6 Server aber nicht? Und dass da seitens der DG vielleicht irgendwas an meinem Anschluss "resetted" werden müsste?

frank_m Danke für die Rückmeldung! Wie oder was muss man da für das Log konfigurieren?

Und was bedeutet das „NO IA_NA-opt“? Kann es sein, dass der DG DHCPv6 Server einfach die neue MAC vom RS123 (noch) nicht akzeptiert, weil er bislang nur die der be.IP kannte?

frank_m  Kalle

Danke für die Infos. Ich hatte bislang ohne Probleme eine be.IP im Einsatz (IPv4 sowie IPv6).

Tatsächlich hatte ich beim Routerwechsel zwischen be.IP und RS123 *keine* Stunde gewartet. Das erklärt wohl auch, warum partout keine IPv4 zugewiesen wurde, diese dann jedoch irgendwann "plötzlich" (nach längerer Wartezeit) da war Also mit IPv4 läuft der RS123 jetzt zumindest schonmal am DG Anschluss.

Jedoch hapert es mit IPv6 noch. Scheinbar wird das Präfix nicht übermittelt und keine Adressen zugewiesen. Hier mal ein Auszug aus dem INET6 Log:

1    2021-12-04    01:22:39    Error    INET6    DHCPv6-client(en1-4): No IA_NA-opt in reply
2    2021-12-04    01:22:39    Error    INET6    DHCPv6-client(en1-4): Received status: 3
3    2021-12-04    01:22:09    Error    INET6    DHCPv6-client(en1-4): No IA_NA-opt in reply
4    2021-12-04    01:22:09    Error    INET6    DHCPv6-client(en1-4): Received status: 3
7    2021-12-04    01:21:07    Information    INET6    DHCPv6-client(en1-4): Sending Request-messages
8    2021-12-04    01:21:06    Information    INET6    DHCPv6-client(en1-4): Sending Solicit-messages
9    2021-12-04    01:21:06    Information    INET6    DHCPv6-client(en1-4): Starting
10    2021-12-04    01:21:06    Information    INET6    DHCPv6-client(en1-4): Stopping
11    2021-12-04    01:21:06    Error    INET6    DHCPv6-client(en1-4): Max number of Request-transmissions exceeded

Meine Konfiguration ist weiterhin wie hier beschrieben: https://www.gsnw.de/site/service/howto/view.php?id=10 (Globales Präfix, en1-4 Settings, br-0 Settings) . Diese funktioniert so auch zumindest auf der be.IP. Zusätzlich hatte ich noch den Hinweis #5411 aus dem letzten Bintec Release (10.2.10 Patch 1) ausprobiert, ohne Erfolg.

Hat jemand eine Idee, was man noch ausprobieren könnte?

Hallo Forum,

ist es möglich, einen Bintec Router der RS-Serie (RS123w-4g) am Anschluss der Deutschen Glasfaser zu betreiben? Eine Bintec be.IP läuft ohne Probleme (auf Basis von https://www.gsnw.de/site/service/howto/view.php?id=10), jedoch scheiterte die Einrichtung des RS123w-4g bislang. Am WAN-Interface wird keine IPv4 Adresse zugeteilt und die IPv6 Adressen aus dem globalen Prefix werden auch nicht verteilt...

Viele Grüße!

Expalmi  HubeBube

So, VPN via IKEv2 läuft nun (nativ unter iOS und Windows).

Letztendlich hat ein im RRAS noch eingetragener Preshared Key (vom vorherigen L2TP/IPSec) die IKEv2 Authentifizierung behindert, darauf muss man erst mal kommen

Im nächsten Step werde ich die EAP-MSCHAP v2 Authentifizierung vielleicht noch eliminieren zugunsten von Client Zertifikaten.

Danke für eure Denkanstöße

Expalmi Wo Bitte kannst du auf dem iPhone in den VPN Einstellungen bei IKEv2 ein Shared Secret (Preshared Key) eingeben? Ich habe die aktuelle iOS Version, da geht das nicht!? Nur bei L2TP/IPSec. Aber du sagtest ja dass du IKEv2 nutzt.

HubeBube Danke für deine Motivation. Unter Windows habe ich da keine Hemmungen, aber lassen sich die Zertifikate automatisiert für iOS Geräte ausstellen und automatisiert auf dem Device installieren?

Zitat von Expalmi

ich habe das mit preshared Keys realisiert, es wäre auch möglich mit Zertifikaten zu arbeiten, das war mir aber zu umständlich.

Expalmi Aber deine Clients sind nicht iOS, richtig? Denn hier kann für IKEv2 kein preshared Key hinterlegt werden

HubeBube Ja, das fürchte ich auch. Leider stellt sich hier dann die Zertifikat Problematik, insbesondere für die iOS Clients. Bei den Windows Clients dürfte sich das einigermaßen automatisieren lassen.

Sorry, ich spreche von iOS (iPhone).

L2TP/IPSec klappt weiterhin nicht, ich vermute der Client kann die IPv6 Adresse nichts verarbeiten. Schade! Oder gibt es irgendeinen Trick?

Expalmi Wie hast du das über IKEv2 realisiert? Geht das nur mit Zertifikaten? Der iOS Client hat zumindest keine Möglichkeit, einen preshared Key zu hinterlegen… VPN Server ist ein Server 2019.

frank_m Das hat nun funktioniert (von Windows Clients), danke für den Tipp!

Leider kann der IOS VPN Client jedoch für L2TP scheinbar kein IPv6 (findet Server über AAAA als auch die IP nicht). Muss wohl auch IKEv2 umsteigen, da geht angeblich auch IPv6…

frank_m ESP und AH hatte ich solange das über IPv4 lief seltsamerweise nicht benötigt. Aber ich sehe gerade, wohl nur weil ich zusätzlich NAT-T (4500) hatte. Mal sehen, ob es mit ESP klappt…

Hallo Forum,

ich bekomme über IPv6 keine Verbindung via L2TP/IPSec zu meinem VPN Server. Die Ports 1701 und 500 sind in der Firewall freigegeben. Der VPN Server (RRAS) ist für v6 konfiguriert. Lokal funktioniert der Verbindungsaufbau über IPv6. Remote (T-Mobile) jedoch nicht (testweise eine Port 80 Freigabe in der Firewall allerdings korrekt).

Die ein oder andere Ressource im Netz sagt, dass L2TP/IPSec über IPv6 nicht möglich (oder bei der DG nicht möglich) ist. Stimmt das?

Falls das Szenario so definitiv nicht möglich ist, würde IKEv2 funktionieren?

Viele Grüße!

@alfalfa

Noch eine letzte Frage: Der bisherige Router kann kein IPv6rd... Wenn ich deinen dritten Post hier...

Deutsche Glasfaser und öffentliche IPv4 WAN Adresse

...richtig interpretiere, ist das jedoch kein Problem, da ja CGNAT und nicht „Lite“ eingesetzt wird?

Screenshot von der widersprüchlichen Aussage vom Support kann ich dir gerne schicken falls noch Interesse.

@alfalfa

Vielen Dank für deine Ausführungen!

Hallo Forum,

ich habe viele Beiträge diesbezüglich gelesen, aber worin genau besteht eigentlich das Problem hinsichtlich VPN mit „Dual Stack Lite“ oder „Dual Stack CGNAT“? Mir ist durchaus bewusst, dass bei diesem Verfahren die IPv4 Adresse aus einem „privaten“ Adressraum stammt und lediglich die IPv6 Adresse öffentlich ist.

Aktuell (bisheriger VDSL Provider) existiert eine öffentliche IPv4 Adresse sowie Portweiterleitungen für L2TP/IPSec am Router auf einen Windows Server (RAS) im LAN. Lässt sich dieses Szenario so nicht auch auf eine öffentliche IPv6 Adresse anwenden? Oder liegt liegt das Problem darin, dass:

a) der „mobile“ Client sich meistens in einem IPv4 Netzwerk (Telekom LTE etc) befindet und daher nicht mit einer IPv6 Adresse kommunizieren kann?

b) wenn der mobile Client in einem IPv6 Netzwerk wäre, alle zu erreichenden Geräte im LAN ebenfalls über IPv6 erreichbar sein müssten (also nicht nur der VPN Server selbst)?

Viele Grüße!

P.S. Auch mir wurde aktuell auf Nachfrage beim Support (Deutschen Glasfaser) die Auskunft gegeben, es sei „Dual Stack Lite“ im Einsatz. Ich habe hier einige Beiträge gefunden, dass das falsch sei und seit einiger Zeit „Dual Stack CGNAT“ eingesetzt werden würde.