Auteur Sujet: Firewall IPv6 & délégation de préfixe dans la nouvelle màj Bbox 18.2.12 (Lu 132082 fois)

et1000 · « **Réponse #180 le:** 17 août 2025 à 10:56:20 »

Effectivement avec du MACVLAN (pseudo-ethernet) je peux récupérer un 2ème préfixe sur la même interface physique à partir du moment où je change le DUID, merci, on avance.
Par contre le routage ne fonctionne pas car la default reste sur l'interface parente, je pense que la box drop vu que ce préfixe n'est pas sensé venir de là. J'ai essayé avec une table de routage dédiée + PBR mais le routeur s'emmêle les pinceaux avec les NA et pense que tout Internet est link-local.

Je vais essayer le mode VEPA.

Quand on demande 2 PD sur la même interface, en fait la box nous attribue 2x le même préfixe, d'où le comportement erratique.

Cryptocake · « **Réponse #181 le:** 03 novembre 2025 à 13:25:56 »

Citation de: Cryptocake le 16 février 2025 à 19:18:13

Bonjour à tous,

La box pure fibre de bouygues a été installé dans mon appart.

Voici mon REX concernant la délégation de préfixe avec un routeur PFSENSE (schéma: BOX LAN1 <=> PFSENSE <=> LAN2)

1- Sur la box, laisser la délégation de préfixe activée en auto (la box attribuera un /64 pour le routeur pfsense automatiquement)

2- Sur le routeur PFSENSE :

- Interface WAN : IPv6 en DHCP6 (pas d'option en mode expert)
- Interface LAN : IPv6 en track interface sur l'interface WAN
- System routing : Activer la gateway IPv6
- Service à activer : Router Advertisement, router mode: mode unmannaged (=SLAAC)
- Règles Firewall LAN : allow IPv6 ANY (pour le trafic client)

3 - Sur votre PC windows ou autre vérifier l'obtention d'une IPv6

- CMD : ping -6 free.fr (par exemple)

Edit FIX : (un peu tardif), certains d'entre vous ont un souci/bug en tout cas avec PFSENSE, tout est en place mais "le ping ne fonctionne pas et non plus d'internet V6".
Bugfix : Pfsense 2.8.0 semble buggé, j'ai pour fixer le souci (temporairement), je vais sur l'interface WAN et je coche une case au hasard pour déclencher une modif/recharge de l'interface WAN et la BINGO le ping est ok

Edit 2 : la version 2.8.1 vient de tout faire PT donc je cherche une solution (le ping par du PC vers internet et pas de retour...)
La table NDP de Pfsense (équivalent de la table ARP) ne contient pas mon PC...étonnant alors que j'ai bien une IPv6 attribué en slaac

Edit 3: Après 10h à tester plein de truc (dont rollback en 2.8.0 $:-\$ ) sans trouver la root cause

j'ai réussi à rétablir le fonctionnement en allant sur la bbox et forcer la délégation en mode statique en pointant bien le routeur pfsense et en utilisant le scope qui m'avais été donné automatiquement, ensuite je rejoue la partie bugfix (expliqué plus haut) et ça re fonctionne

Edit 4: Bon, ça retombe KO le jour d'après sans rien toucher

, donc souci sois coté PFSENSE ou la BOX sans certitude, en tout cas lors d'un test de ping vers internet le ping6 traverse bien mon routeur et arrive jusqu’à mon VPS internet, le ping6 repart mais pas de reply reçu...

Edit 5: testé avec un routeur OPNsense = la même chose, clients en ipv6 slaac OK mais ping KO

~~En conclusion Pfsense et la bbox pour le DHCP-PD & IPV6 => ce n'est pas au point, fonctionnement aléatoire en tout cas ça à marché pendant un moment - une mise à jour buggé de la bbox ?~~

Bbox en version : 25.1.22

Edit 6: Le souci était au niveau de l'interface WAN, les flux doivent être ouvert soit implicitement et sans aucune autre règle (ce que fait très bien OPNsense automatiquement à l'install), soit un full ANY ANY IPV6 IN (flemme). A ce moment la vous pourrez aller sur votre BBOX et sélectionner votre routeur pf ou OPN avec votre préfix voulu.

Let's go IPV6 !

Edit 7 : début 2026 après un reboot de la box, le routage de délégation de préfixe ne fonctionne plus... support bouygues inexistant...

Problème situé sur la bbox qui ne met pas à jour sa table de routage avec le prefix délégué donc les paquets sortent mais le retour ne fonctionne pas

serge06 · « **Réponse #182 le:** **Aujourd'hui** à 16:22:27 »

Bonjour à tous,
je déterre un peu ce sujet car je suis confronté aux mêmes soucis me semble t'il.
Mon installation:

inet <----> BBOX <----> PFsense (DMZ) <---> Vlans

j'ai segmenté mon réseau local en plusieurs vlan ipv4 actuellement (séparation réseaux des utilisateurs du réseau l'Iot et du réseau de mes "serveurs homelab") avec un PFsense placé en DMZ de la Box (pour mes port forwarding vers des services locaux). Le PFsense NAT les vlans (double NAT vu que la bbox ne permet pas le mode bridge).

Tout fonctionne à merveille et je souhaitais ajouter de l'ipv6 au moins sur le Vlan des utilisateurs.

J'ai donc essayé de faire une délégation ipv6 au PFsense mais impossible.

Bien qu'il soit configuré en DHCP6 et que coté bbox j'ai activé le serveur DHCP6 il n'apparait jamais en équipement "compatible ipv6" et sur l'api de box, quand je requête /hosts il n'a pas de DUID effectivement.
Ce qui est très bizarre c'est que j'avais dans la liste des hosts le PF-sense AVEC un DUID mais sur une autre interface (une ancienne installation du pfsense sur une uatre interface réseau).
Je me suis dit qu'il y avait p-e un conflit de DUID/adresse mac en cache de la bbox ou autre, j'ai alors fait un reset usine de la box mais j'ai toujours le même problème.....

Autant je maitrise l'ipv4, je suis ingénieur systême , autant j'avoue que je ne maitrise PAS DU TOUT l'ipv6.
Est ce que, même si la délégation ne fonctionne pas, il serait possible d'attribuer des adresse IPV6 "statique" à mes équipements sur le VLAN users (c'est le seul VLAN ou l'ipv6 aurait une utilité) ?

Merci

serge06 · « **Réponse #183 le:** **Aujourd'hui** à 17:08:02 »

MAJ:

alors plus de 8heures après le reset usine de la Bbox le PF-Sense est ENFIN vu en équipement ipv6 avec un DUID !! Comme quoi je pense vraiment que la Bbox garde en "cache" des informations sur les hosts qui peut lui empêcher d'accepter les DUID.

Par contre j'ai essayé de déléguer le 1er prefix et ca ne fonctionnait pas.
J'ai alors déléguer les 3 prefix possible au pfsense et en regardant les logs debug d dhcpc6 coté pfsense j'arrive à récupérer uniquement que le 2eme prefix (a5c2) et pas les autres....très bizzare