IPv6 - Telekom - CARP

Beerman

Hi,

mal 'ne Frage / Problem zu IPv6 und CARP.

Bin bei der Telekom und habe 2 pfSense Boxen im HA. D.h. der Master wählt sich der PPPoE ein und bekommt die IPv4 Adresse und den IPv6 Präfix von der Telekom.
(Eine Box läuft virtuell auf einem Server und die andere ist ne APU Box. Und wenn ich den Server mal abschalte, hab ich zumindest noch Internet.)

Jetzt läuft auch alles soweit, zumindest mit IPv4. IPv6 läuft prinzipiell auch soweit gut, aber halt nicht zu 100%.

Bei den "Router Advertisements" habe ich auf der Master Box, den Wert für "Router priority" auf high und bei der Slave Box den wert auf low.

Die meisten Clients respektieren das auch. Allerdings habe ich hier schon ein Linux Client (Ubuntu 20.04) welches die "Router priority" nicht übernimmt und so habe ich dort quasi 2 default routen für IPv6.

Außerdem denke ich, dass ich ein Problem hätte wenn ich per CARP die 2. Box zum Master mache. Dann würde ja jeder Client trotzdem die 1. Box als default GW nehmen.

Meine Idee, noch eine LL Adresse per CARP zu verteilen, und für die "Router Advertisements" diese Adresse zu nehmen, scheint in GUI zu funktionieren (dort konnte ich diese auswählen), allerdings bekam der Client keine Adresse aus dem Telekom Präfix mehr zugewiesen.

Hat jemand eine gute Lösung dafür?

Ich hoffe, dass war einigermaßen verständlich... :-P

Danke! :)

JeGr

@beerman Moin,

Ich hoffe, dass war einigermaßen verständlich... :P

ne nicht so ganz ;)

Du machst HA mit PPPoE? Wie ist das aufgesetzt? Dummy v4 auf Base Interface und darauf dann ne CARP VIP und darauf PPPoE?

Warum hat dann überhaupt die 2. Box eine aktive IPv6 Adresse von außen die sie propagiert? Wenn die 2. Box sauber Standby ist, dann sollte sie keinen RA rausgeben und da muss dann auch keine Priority gesetzt werden, denn die 2. soll im Standby einfach komplett die Klappe halten wenn sie nicht dran ist ;)

Also klingt das irgendwie nach Fehlkonfiguration? Kannst du das ggf. mal näher beschreiben oder mit Screens zeigen wie das aufgesetzt ist? Denn ich hatte gerade erst das "Vergnügen" mit einem PPPoE auf CARP auf IF auf DummyIF für PPPoE weil der Kunde keinen Router davor hatte, der die Einwahl übernimmt (was besser wäre für CARP). Und da hat die 2. FW keine Einwahl gemacht wenn sie nicht dran war.

Beerman

@jegr said in IPv6 - Telekom - CARP:

Du machst HA mit PPPoE? Wie ist das aufgesetzt? Dummy v4 auf Base Interface und darauf dann ne CARP VIP und darauf PPPoE?

Genau, ich habe ein Interface mit einem /29 Netz und dazu eine CARP VIP. Und auf der CARP VIP liegt dann das eigentliche PPPoE Interface. Das funktioniert bisher eigentlich sehr gut.

Warum hat dann überhaupt die 2. Box eine aktive IPv6 Adresse von außen die sie propagiert? Wenn die 2. Box sauber Standby ist, dann sollte sie keinen RA rausgeben und da muss dann auch keine Priority gesetzt werden, denn die 2. soll im Standby einfach komplett die Klappe halten wenn sie nicht dran ist ;)

Die 2. Box hat natürlich keine IPv6 Addresse. Nur ist der "radvd" Dienst auf dieser Box auch aktiv und sendet fleissig RA. In der GUI sieht man nicht, dass der DIenst aktiv ist, aber mit "ps -aux" sieht man ihn.

Diese Konfiguration hat der Dienst auf der 2. Box:

# Automatically Generated, do not edit
# Generated config for dhcp6 delegation from opt4 on lan
interface re0.400 {
AdvSendAdvert on;
MinRtrAdvInterval 5;
MaxRtrAdvInterval 10;
AdvLinkMTU 1500;
AdvOtherConfigFlag on;
prefix ::/64 {
	AdvOnLink on;
	AdvAutonomous on;
};
DNSSL xxxxxxx.local { };

};

Bei der 1. Box sieht diese so aus:

# Automatically Generated, do not edit
# Generated for DHCPv6 Server lan
interface vtnet2.400 {
AdvSendAdvert on;
MinRtrAdvInterval 5;
MaxRtrAdvInterval 20;
AdvLinkMTU 1500;
AdvDefaultPreference high;
prefix 2003:ed:a73c:xxxx::/64 {
	DeprecatePrefix on;
	AdvOnLink on;
	AdvAutonomous on;
	AdvValidLifetime 86400;
	AdvPreferredLifetime 14400;
};
route ::/0 {
	AdvRoutePreference high;
	RemoveRoute on;
};
RDNSS 2003:ed:a73c:wwww:rrrr:yyyy:xxxx:xxxx { };
DNSSL xxxxxxxx.local  { };

};

Evtl. ein Fehler, dass der Dienst überhaupt auf der 2. Box gestartet wird?

JeGr

@beerman Hmm gute Frage. Aus dem Bauch raus würde ich sagen nein, denn dass der Dienst läuft per se ist ja nicht schlimm oder verkehrt.

Ich denke das Problem wird hier eher die ganze Konstellation sein, da:

Dummy WAN IF + CAPR VIP + PPPoE on top ist solala OK'ish für CARP, weil das definitiver Verbindungsabbruch heißt im Failover Fall. Will man eigentlich immer vermeiden, daher ist das zwar "OK" aber besser wäre ein vorgeschalteter Router (ggf. vom Provider wegen Verantwortlichkeit) weil dann beide Geräte mit sauberem IP Layer arbeiten und dann auch sauberes Failover machen
Durch das Dummy Konstrukt und den Abriß bzw. forced down/up oben klappt der Zugriff per v4 ganz gut und failed auch auf den secondary node über. Zwar nicht seamless aber immerhin. Problematisch wird jetzt aber IPv6 denn das wird dann meist nicht mehr per PPPoE, sondern per DHCP6 stattfindet und da wirds nun knifflig, denn hier haben wir dann den Dummy + CARP VIP + PPPoE Interface Layer nicht, sondern arbeiten ja quasi direkt per DHCP6 auf dem "echten" WAN Interface. Das hat nun aber kein Down oder Up Event und keine CARP VIP - da ja nichts statisch definiert wird - und dementsprechend fehlt dir die Failover Information für v6.

Ich vermute deshalb, weil v6 die CARP VIP fehlt, haben die restlichen Komponenten wie RADVD und vor allem der DHCP6 Server dann nicht die Information, die den 2. Node stoppen würde, seine Daten zu announcen und deshalb hast du diese Dopplereffekte.

Hast du denn in dem Setup statische Adressen? Ich denke andernfalls mit dynamischen Adressen könnte es evtl. schwer werden, das sauber hinzubekommen, wäre mir zumindest gerade aus dem Stand nicht so im Kopf, wie man das geschickt in einem Routing only Szenario ohne CARP aufsetzen würde. Denn wenn sich jede Box per DHCP6 eine IP6 holt, würde beim Failover theoretisch auch der RA / PD announce fehlen, dass das LAN jetzt nicht mehr über die eine sondern die andere Kiste geroutet werden soll.

Habe ich tatsächlich so jetzt auch noch nirgends wirklich eingerichtet (also dynamische IPs/Prefixe und darauf CARP), weil gerade dynamische Prefixe ja leider mehr Kopfzerbrechen erzeugen als dass sie Lösungen bringen :/

Beerman

@jegr

Danke, für Deine ausführliche Antwort!

Leider habe ich keine statischen IP Adressen, seitens der Telekom.

Und ich habe die 2. Box ja eigentlich auch nur, damit ich den Server, auf dem die 1. Box als virt. Maschine läuft, auch mal abschalten kann und ich dann trotzdem noch Internet usw. habe. Also wirkliche HA, gibt es mit PPPoE in dieser Konfig. ja so auch nicht.

Was mich aber wundert: Wenn die 1. Box online ist und eine öffentliche IPv6 Adresse hat, sehe ich unter "Status -> Services" den Dienst "radvd" und kann ihn dort starten/stoppen usw.

Bei der 2. Box, die dann nicht "online" ist und keine IPv6 Adresse von der Telekom hat, sehe ich den Dienst dort nicht. Ich kann nur auf der Konsole sehen, dass der Dienst läuft. Also irgendwie muss die GUI ja merken, dass der Dienst eigentlich nicht laufen soll/kann. (Er läuft auch nur, wenn ich der "Router mode" in der "Router Advertisements" Konfiguration auf "unmanaged" steht und nicht auf "disabled".)

Das wundert mich etwas und lässt mich irgendwie auf ein Bug o.Ä. kommen...

Leider wüsste ich sonst auch nicht, was ich an der Konfiguration sonst noch ändern könnte, damit ich das Problem lösen könnte... :(