PFSense mit echtem statischen IPv6 Subnet

Timo 1

Hallo,

ich habe eine PFSense 2.7.2 gehostet.

Dort möchte ich ein IPv6 Netz im WAN und LAN Bereich einbinden.

von meinem Provider habe ich ein nicht geroutetes statisches IPv6 /48 Netz erhalten wie z.B. (2a05:bec0:1234::/48 Gateway 2a05:bec0:1234::1)

Ich habe viel gegoogelt aber es bislang nicht hinbekommen beide Netzwerke mit IPv6 zu versorgen. Da ich vom ISP kein geroutetes Netz erhalten habe (also kein Router Advertisement oder DHCPv6) kann ich die meißten Anleitungen nicht nutzen und muss die Netze per "Static IPv6" konfigurieren.

Wenn ich das IPv6/48 Subnet und Gateway im WAN einstelle funktioniert es prinzipiell im WAN. Ich kann dann aber im LAN keine statische IPv6 setzen, die als Subnetz ein /64 aus dem Bereich des /48 besitzt (Fehler: Netzbereichsüberschneidung mit WAN -> nicht erlaubt). Im LAN habe ich bereits viele Einstellungen versucht einen IPv6 Bereich aus dem statisch konfigurierten /48 Netz zu erhalten, aber bislang kläglich gescheitert.

Neuer Versuch:
Danach habe ich im WAN Bereich das Subnet 2a05:bec0:1234::2/64 gesetzt und als Gateway die 2a05:bec0:1234::1. Das funktioniert auch, ich kann mit der PFsense ins Internet per IPv6.

Im LAN Bereich habe ich dann ein anderes Subnet im /48 Netz statisch konfiguriert: z.B. 2a05:bec0:1234:9000:1/64 ohne ein Gateway. Meine Clients im LAN können sich und die 2a05:bec0:1234:9000::1 pingen aber kommen nicht raus ins Internet. In der Firewall habe ich bei LAN bereits eine IPv6 any/any Regel angelegt, hat aber nicht geholfen. Ich vermute, dass ich noch eine statische Route oder ähnlich einrichten muss, um der PFSense zu sagen route die LAN IPv6 Verbindungen über das WAN IPv6 Gateway. Aber ich habe keine Idee wie.

Vielleicht kann mir hier jemand die richtige Lösung sagen.

JeGr

@Timo-1 said in PFSense mit echtem statischen IPv6 Subnet:

von meinem Provider habe ich ein nicht geroutetes statisches IPv6 /48 Netz erhalten wie z.B. (2a05:bec0:1234::/48 Gateway 2a05:bec0:1234::1)

Hi,

was ist denn ein "nicht geroutetes, statisches IPv6/48 Netz" in deiner Definition? Ein /48er sollte eigentlich immer geroutet werden, da es 0,0% Sinn macht, jemand auf einem Interface ein /48er Netz draufzuwerfen. Das sollte wenn überhaupt ein Netz wie

2a05:bec0:1234::/48 geroutet auf 2a05:bec0:1234::2 /64 mit GW ::1 /64 sein

Alles andere ist ja bekloppt. Du willst ja nicht Trillionen Adressen auf einer Firewall oder einem Router verschwenden, sondern die weiter routen. Und wenn dein GW nicht weiß, dass das /48er HINTER deiner gehosteten Firewall liegt, dann macht das ja keinen Sinn.

Da würde ich also zuerst ansetzen und den Kollegen da sagen, sie mögen doch den Router auf der ::1 in ein /64 packen und dort in die Routing Table dein /48 dann bitte mit Ziel ::2/64 routen.

Alles andere kannst du sonst erstmal knicken, weil die Pakete sonst nie an dich geroutet werden.

Cheers
\jens