ubuntuusers.de

In meinem lokalen Netzwerk (Internet – ISP-Modem – OpenWrt-Router – LAN) verhält sich ein Server (Ubuntu 24.04 LTS) überraschend in Bezug auf IPv6. Mit der folgenden netplan-Konfiguration:

1
2
3
4
5
6
7

network:
  ethernets:
    eno1:
      accept-ra: true
      dhcp6: false
      ipv6-privacy: true
  version: 2

– wird per SLAAC eine EUI64-Adresse generiert –

inet6 <ipv6-prefix>:<eui64>/64 scope global dynamic mngtmpaddr noprefixroute 
       valid_lft 86399sec preferred_lft 86399sec

– über die ich keine Adressen außerhalb des lokalen Netzwerks (<ipv6-prefix>::/64) erreichen kann. Die Pakete werden laut tcpdump vom Router entgegengenommen und über das WAN-Interface weitergeleitet, versanden dann aber irgendwo.

Laut einem älteren Thread sollte mich das wegen der Flags mngtmpaddr noprefixroute nicht überraschen.

Wenn ich die Privacy Extensions aktiviere (ipv6-privacy: true), wird eine temporäre Adresse generiert und der Internet-Zugriff (mit dieser Source-Adresse) ist möglich – allerdings nur für eine Stunde:

inet6 <ipv6-prefix>:e857:eaec:4817:63df/64 scope global temporary dynamic 
       valid_lft 3596sec preferred_lft 85873sec

Laut sysctl müsste die temporäre Adresse deutlich länger verfügbar sein –

net.ipv6.conf.all.temp_prefered_lft = 86400
net.ipv6.conf.all.temp_valid_lft = 604800
net.ipv6.conf.all.use_tempaddr = 2

– und vor allem sollte sie automatisch erneuert/ersetzt werden (was nicht passiert – sie verschwindet am Ende ihrer Lebenszeit spurlos). Wenn ich die Adressgenerierung modifiziere (ipv6-address-generation: stable-privacy), entsteht eine Adresse mit denselben Flags wie die EUI64-Adresse –

inet6 <ipv6-prefix>:<stable-privacy-address>/64 scope global dynamic mngtmpaddr noprefixroute 
       valid_lft 86398sec preferred_lft 86398sec

– die aber geroutet wird. Praktisch betrachtet ist mein primäres Problem (Internet-Zugang per IPv6) also gelöst, aber ich bin trotzdem verwirrt (und würde lieber temporäre Adressen für den WAN-Traffic verwenden).

• Warum hat die temporäre Adresse eine so kurze Lebensdauer (3600 statt 604800 Sekunden)?

• Warum wird sie nicht automatisch erneuert?

• Warum kann über eine Stable Privacy-Adresse geroutet werden, trotz der Flags mngtmpaddr noprefixroute (und an welchem Knoten scheitern die Pakete mit der EUI64-Adresse des Servers)?

Andere Clients im lokalen Netz (u.a. ein Ubuntu-Laptop und ein MacBook) haben dieses Problem nicht: Sie generieren ohne Anpassung der Netzwerkkonfiguration eine statische (interne) Adresse und regelmäßig erneuerte temporäre Adressen. Im Fall des Ubuntu-Laptops ist der Unterschied zum Ubuntu-Server nicht in der netplan-Konfiguration abzulesen.

Ist das ISP-Modem wirklich nur ein Modem oder doch ein Router? Was ist, wenn da direkt ein Rechner dranhängt?

Macht Openwrt hier PPP und DHCPv6-PD? Wie sehen da die Adressen aus und geht ein ping vom openwrt-Router ins Internet?

DJKUhpisse schrieb:

Ist das ISP-Modem wirklich nur ein Modem oder doch ein Router?

Sorry, das hätte ich präziser ausdrücken sollen: Das ISP-Modem agiert als Router und liefert das IPv6-Präfix an alle Clients. Mein OpenWrt-Router ist im IPv6-Modus "passthrough" bzw. "relay".

Was ist, wenn da direkt ein Rechner dranhängt?

Ich habe zwei Clients per Ethernet mit dem ISP-Modem verbunden – sie verhalten sich (in Bezug auf IPv6) in diesem Fall genau gleich.

Macht Openwrt hier PPP und DHCPv6-PD?

s.o. – der Modus heißt in der Admin-Oberfläche des Herstellers "Passthrough", im LuCI-Interface "relay". Die RA-Pakete vom ISP-Modem (Router) werden einfach durchgeleitet.

Wie sehen da die Adressen aus und geht ein ping vom openwrt-Router ins Internet?

Alle Adressen werden korrekt im IPv6-Subnet (/64) generiert, ich kann von allen Clients und vom OpenWrt-Router aus pingen. Die Ausnahme ist eben der Server, der nur nach den beschriebenen Änderungen ins Internet kommt (zeitweise mit einer temporären Adresse oder dauerhaft mit der Stable Privacy-Adresse).

janedenone schrieb:

DJKUhpisse schrieb:

Ist das ISP-Modem wirklich nur ein Modem oder doch ein Router?

Sorry, das hätte ich präziser ausdrücken sollen: Das ISP-Modem agiert als Router und liefert das IPv6-Präfix an alle Clients. Mein OpenWrt-Router ist im IPv6-Modus "passthrough" bzw. "relay".

Warum ist das ISP-Teil nicht nur Modem? Das würde so einiges vereinfachen.

Bedeutet passthrough bei openwrt, dass das Teil für IPv6 nur ein Switch und ggf. Firewall ist?

Was ist, wenn da direkt ein Rechner dranhängt?

Ich habe zwei Clients per Ethernet mit dem ISP-Modem verbunden – sie verhalten sich (in Bezug auf IPv6) in diesem Fall genau gleich.

Macht Openwrt hier PPP und DHCPv6-PD?

s.o. – der Modus heißt in der Admin-Oberfläche des Herstellers "Passthrough", im LuCI-Interface "relay". Die RA-Pakete vom ISP-Modem (Router) werden einfach durchgeleitet.

Auch alles zu NDP? Ist auf dem Openwrt eine Firewall für IPv6 aktiv und gibt es da ein Log?

Wie sehen da die Adressen aus und geht ein ping vom openwrt-Router ins Internet?

Alle Adressen werden korrekt im IPv6-Subnet (/64) generiert, ich kann von allen Clients und vom OpenWrt-Router aus pingen. Die Ausnahme ist eben der Server, der nur nach den beschriebenen Änderungen ins Internet kommt (zeitweise mit einer temporären Adresse oder dauerhaft mit der Stable Privacy-Adresse).

Dann nimm dir bitte mal rdisc6 und poste die Ausgabe davon hier.

Ggf. gibt es hier zu lange Gültigkeitszeiten, die bei Clients, die ab und zu ausgeschaltet sind, kein Problem verursachen.

Bitte auch mal direkt am ISP-Router anschließen und da testen.

DJKUhpisse schrieb:

janedenone schrieb:

DJKUhpisse schrieb:

Ist das ISP-Modem wirklich nur ein Modem oder doch ein Router?

Sorry, das hätte ich präziser ausdrücken sollen: Das ISP-Modem agiert als Router und liefert das IPv6-Präfix an alle Clients. Mein OpenWrt-Router ist im IPv6-Modus "passthrough" bzw. "relay".

Warum ist das ISP-Teil nicht nur Modem? Das würde so einiges vereinfachen.

Ich habe die Umstellung etwas vor mir hergeschoben, aber auf dem ISP-Modem wird heute Nacht der Bridge-Modus verfügbar gemacht. Ich passe meine Router-Konfiguration für IPv6 morgen früh an und teste noch einmal.

Der Bridge Mode für das ISP-Modem war die Lösung.

Wie ist denn jetzt die Lifetime der Adresse?

86400 Sekunden (sowohl valid_lft als auch preferred_lft), obwohl die beiden Parameter eigentlich unterschiedlich konfiguriert sind:

net.ipv6.conf.all.temp_prefered_lft = 86400
net.ipv6.conf.all.temp_valid_lft = 604800
net.ipv6.conf.eno1.temp_prefered_lft = 86400
net.ipv6.conf.eno1.temp_valid_lft = 604800

Es dauert also noch ein paar Tage, bis ich verifizieren kann, dass sich die Adresse tatsächlich erneuert. Ich nehme aber an, dass eine neue Adresse nach dem Ende der preferred_lft generiert wird – in der vorangehenden Konstellation bestand das Problem ja darin, dass die valid_lft sehr viel niedriger war als die preferred_lft und die Adresse damit ungültig wurde, bevor sie ersetzt wurde.

Relevant wäre, was im DHCPv6 vom ISP kommt und was dein Router dir per RA weitergibt.