Auteur Sujet: FREE IPV6 sur Ubiquiti Edgerouter-8 Pro... la solution (Lu 46819 fois)

doktoil makresh · « **Réponse #108 le:** 29 novembre 2023 à 14:18:15 »

Alors le retour de la commande :
2001:4860:4860::8844 from :: via fe80::72fc:8fff:fe68:2c36 dev eth0 proto zebra src 2a01:e0a:348:bda0::1 metric 1024 pref medium

Sur les logs, je ne vois rien de rien pendant un ping (je lance le tail avant dans un terminal distinct)

kgersen · « **Réponse #109 le:** 29 novembre 2023 à 17:01:11 »

Citation de: doktoil makresh le 29 novembre 2023 à 14:18:15

Alors le retour de la commande :
2001:4860:4860::8844 from :: via fe80::72fc:8fff:fe68:2c36 dev eth0 proto zebra src 2a01:e0a:348:bda0::1 metric 1024 pref medium

ce qui semble correct. (c'est bien l'ip source (src) du bridge qui est choisie).

la je ne vois pas.

plusieurs pistes:

1. donnes nous les règles complètes avec:

Code: [Sélectionner]

sudo -i # pour passer en mode Linux / root
ip6tables -S
ip6tables -nvL

2. tu peut tenter un reset complet du firewall:
a . sauvegarder la conf
b . saisir en root:

Code: [Sélectionner]

ip6tables -P INPUT ACCEPT
ip6tables -P FORWARD ACCEPT
ip6tables -P OUTPUT ACCEPT
ip6tables -t nat -F
ip6tables -t mangle -F
ip6tables -F
ip6tables -X

puis tenter un ping.

si pas ok le problème est ailleurs.

3. capture des ICMPv6 de ping sur l'interface eth0:

Code: [Sélectionner]

sudo tcpdump -i eth0 "icmp6 && (ip6[40] == 128 || ip6[40] == 129)"

(ctrl-c pour arreter)
et faire des ping depuis une autre fenetre.

doktoil makresh · « **Réponse #110 le:** 29 novembre 2023 à 17:10:58 »

Voici les infos demandées :

Code: [Sélectionner]

ip6tables -S
-P INPUT ACCEPT
-P FORWARD ACCEPT
-P OUTPUT ACCEPT
-N VYATTA_FW_IN_HOOK
-N VYATTA_FW_LOCAL_HOOK
-N VYATTA_FW_OUT_HOOK
-N VYATTA_POST_FW_FWD_HOOK
-N VYATTA_POST_FW_IN_HOOK
-N VYATTA_POST_FW_OUT_HOOK
-N WANv6_IN
-N wan_local-6
-A INPUT -j VYATTA_FW_LOCAL_HOOK
-A INPUT -j VYATTA_POST_FW_IN_HOOK
-A FORWARD -j VYATTA_FW_IN_HOOK
-A FORWARD -j VYATTA_FW_OUT_HOOK
-A FORWARD -j VYATTA_POST_FW_FWD_HOOK
-A OUTPUT -j VYATTA_POST_FW_OUT_HOOK
-A VYATTA_FW_IN_HOOK -i eth0 -j WANv6_IN
-A VYATTA_FW_LOCAL_HOOK -i eth0 -j wan_local-6
-A VYATTA_FW_OUT_HOOK -o switch0 -j wan_local-6
-A VYATTA_POST_FW_FWD_HOOK -j ACCEPT
-A VYATTA_POST_FW_IN_HOOK -j ACCEPT
-A VYATTA_POST_FW_OUT_HOOK -j ACCEPT
-A WANv6_IN -m comment --comment WANv6_IN-10 -m state --state RELATED,ESTABLISHED -j RETURN
-A WANv6_IN -m comment --comment WANv6_IN-20 -m state --state INVALID -j DROP
-A WANv6_IN -p ipv6-icmp -m comment --comment WANv6_IN-25 -j RETURN
-A WANv6_IN -d 2a01:e0a:348:bda0:1337::2/128 -p tcp -m comment --comment WANv6_IN-30 -m set --match-set SSH-clients-IPv6 src -m tcp --dport 22 -j RETURN
-A WANv6_IN -d 2a01:e0a:348:bda0:1337::2/128 -p tcp -m comment --comment WANv6_IN-40 -m set --match-set Xymon-clients-IPv6 src -m tcp --dport 1984 -j RETURN
-A WANv6_IN -d 2a01:e0a:348:bda0:1337::2/128 -p tcp -m comment --comment WANv6_IN-42 -m set --match-set Lognes-IPv6 src -m tcp --dport 1984 -j RETURN
-A WANv6_IN -d 2a01:e0a:348:bda0:1337::2/128 -p tcp -m comment --comment WANv6_IN-50 -m state --state NEW,ESTABLISHED -m multiport --dports 80,443 -j RETURN
-A WANv6_IN -d 2a01:e0a:348:bda0:1337::2/128 -p tcp -m comment --comment WANv6_IN-60 -m state --state NEW,ESTABLISHED -m tcp --dport 53 -j RETURN
-A WANv6_IN -d 2a01:e0a:348:bda0:1337::2/128 -p udp -m comment --comment WANv6_IN-60 -m state --state NEW,ESTABLISHED -m udp --dport 53 -j RETURN
-A WANv6_IN -d 2a01:e0a:348:bda0:1337::2/128 -p tcp -m comment --comment WANv6_IN-70 -m multiport --dports 110,143,993,995 -j REJECT --reject-with icmp6-port-unreachable
-A WANv6_IN -d 2a01:e0a:348:bda0:1337::2/128 -p tcp -m comment --comment WANv6_IN-80 -m multiport --dports 25,465,587 -j RETURN
-A WANv6_IN -d 2a01:e0a:348:bda0:1337::2/128 -p tcp -m comment --comment WANv6_IN-90 -m tcp --dport 32400 -j RETURN
-A WANv6_IN -m comment --comment "WANv6_IN-10000 default-action drop" -j LOG --log-prefix "[WANv6_IN-default-D]"
-A WANv6_IN -m comment --comment "WANv6_IN-10000 default-action drop" -j DROP
-A wan_local-6 -m comment --comment wan_local-6-10 -m state --state RELATED,ESTABLISHED -j RETURN
-A wan_local-6 -p udp -m comment --comment wan_local-6-15 -m udp --sport 547 --dport 546 -j RETURN
-A wan_local-6 -m comment --comment wan_local-6-20 -m state --state INVALID -j DROP
-A wan_local-6 -p ipv6-icmp -m comment --comment wan_local-6-25 -j RETURN
-A wan_local-6 -d 2a01:e0a:348:bda0:1337::2/128 -p tcp -m comment --comment wan_local-6-30 -m set --match-set SSH-clients-IPv6 src -m tcp --dport 22 -j RETURN
-A wan_local-6 -d 2a01:e0a:348:bda0:1337::2/128 -p tcp -m comment --comment wan_local-6-40 -m set --match-set Xymon-clients-IPv6 src -m tcp --dport 1984 -j RETURN
-A wan_local-6 -d 2a01:e0a:348:bda0:1337::2/128 -p tcp -m comment --comment wan_local-6-42 -m set --match-set Lognes-IPv6 src -m tcp --dport 1984 -j RETURN
-A wan_local-6 -d 2a01:e0a:348:bda0:1337::2/128 -p tcp -m comment --comment wan_local-6-50 -m state --state NEW,ESTABLISHED -m multiport --dports 80,443 -j RETURN
-A wan_local-6 -d 2a01:e0a:348:bda0:1337::2/128 -p tcp -m comment --comment wan_local-6-60 -m tcp --dport 53 -j RETURN
-A wan_local-6 -d 2a01:e0a:348:bda0:1337::2/128 -p udp -m comment --comment wan_local-6-60 -m udp --dport 53 -j RETURN
-A wan_local-6 -d 2a01:e0a:348:bda0:1337::2/128 -p tcp -m comment --comment wan_local-6-70 -m multiport --dports 110,143,993,995 -j REJECT --reject-with icmp6-port-unreachable
-A wan_local-6 -d 2a01:e0a:348:bda0:1337::2/128 -p tcp -m comment --comment wan_local-6-80 -m multiport --dports 25,465,587 -j RETURN
-A wan_local-6 -d 2a01:e0a:348:bda0:1337::2/128 -p tcp -m comment --comment wan_local-6-90 -m tcp --dport 32400 -j RETURN
-A wan_local-6 -m comment --comment "wan_local-6-10000 default-action drop" -j LOG --log-prefix "[wan_local-6-default-D]"
-A wan_local-6 -m comment --comment "wan_local-6-10000 default-action drop" -j DROP

Code: [Sélectionner]

 ip6tables -nvL
Chain INPUT (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         
 256K   18M VYATTA_FW_LOCAL_HOOK  all      *      *       ::/0                 ::/0                
 255K   18M VYATTA_POST_FW_IN_HOOK  all      *      *       ::/0                 ::/0                

Chain FORWARD (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         
  15M 6016M VYATTA_FW_IN_HOOK  all      *      *       ::/0                 ::/0                
  15M 6008M VYATTA_FW_OUT_HOOK  all      *      *       ::/0                 ::/0                
  15M 6008M VYATTA_POST_FW_FWD_HOOK  all      *      *       ::/0                 ::/0                

Chain OUTPUT (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         
 433K   44M VYATTA_POST_FW_OUT_HOOK  all      *      *       ::/0                 ::/0                

Chain VYATTA_FW_IN_HOOK (1 references)
 pkts bytes target     prot opt in     out     source               destination         
7723K 4199M WANv6_IN   all      eth0   *       ::/0                 ::/0                

Chain VYATTA_FW_LOCAL_HOOK (1 references)
 pkts bytes target     prot opt in     out     source               destination         
47182 3261K wan_local-6  all      eth0   *       ::/0                 ::/0                

Chain VYATTA_FW_OUT_HOOK (1 references)
 pkts bytes target     prot opt in     out     source               destination         
7589K 4184M wan_local-6  all      *      switch0  ::/0                 ::/0                

Chain VYATTA_POST_FW_FWD_HOOK (1 references)
 pkts bytes target     prot opt in     out     source               destination         
  15M 6008M ACCEPT     all      *      *       ::/0                 ::/0                

Chain VYATTA_POST_FW_IN_HOOK (1 references)
 pkts bytes target     prot opt in     out     source               destination         
 255K   18M ACCEPT     all      *      *       ::/0                 ::/0                

Chain VYATTA_POST_FW_OUT_HOOK (1 references)
 pkts bytes target     prot opt in     out     source               destination         
 433K   44M ACCEPT     all      *      *       ::/0                 ::/0                

Chain WANv6_IN (1 references)
 pkts bytes target     prot opt in     out     source               destination         
7452K 4177M RETURN     all      *      *       ::/0                 ::/0                 /* WANv6_IN-10 */ state RELATED,ESTABLISHED
  317 22449 DROP       all      *      *       ::/0                 ::/0                 /* WANv6_IN-20 */ state INVALID
  779 53290 RETURN     icmpv6    *      *       ::/0                 ::/0                 /* WANv6_IN-25 */
19800 1584K RETURN     tcp      *      *       ::/0                 2a01:e0a:348:bda0:1337::2  /* WANv6_IN-30 */ match-set SSH-clients-IPv6 src tcp dpt:22
    0     0 RETURN     tcp      *      *       ::/0                 2a01:e0a:348:bda0:1337::2  /* WANv6_IN-40 */ match-set Xymon-clients-IPv6 src tcp dpt:1984
    0     0 RETURN     tcp      *      *       ::/0                 2a01:e0a:348:bda0:1337::2  /* WANv6_IN-42 */ match-set Lognes-IPv6 src tcp dpt:1984
 3188  263K RETURN     tcp      *      *       ::/0                 2a01:e0a:348:bda0:1337::2  /* WANv6_IN-50 */ state NEW,ESTABLISHED multiport dports 80,443
   68  5164 RETURN     tcp      *      *       ::/0                 2a01:e0a:348:bda0:1337::2  /* WANv6_IN-60 */ state NEW,ESTABLISHED tcp dpt:53
 136K   12M RETURN     udp      *      *       ::/0                 2a01:e0a:348:bda0:1337::2  /* WANv6_IN-60 */ state NEW,ESTABLISHED udp dpt:53
   15   960 REJECT     tcp      *      *       ::/0                 2a01:e0a:348:bda0:1337::2  /* WANv6_IN-70 */ multiport dports 110,143,993,995 reject-with icmp6-port-unreachable
   21  1428 RETURN     tcp      *      *       ::/0                 2a01:e0a:348:bda0:1337::2  /* WANv6_IN-80 */ multiport dports 25,465,587
    0     0 RETURN     tcp      *      *       ::/0                 2a01:e0a:348:bda0:1337::2  /* WANv6_IN-90 */ tcp dpt:32400
13068  914K LOG        all      *      *       ::/0                 ::/0                 /* WANv6_IN-10000 default-action drop */ LOG flags 0 level 4 prefix "[WANv6_IN-default-D]"
13068  914K DROP       all      *      *       ::/0                 ::/0                 /* WANv6_IN-10000 default-action drop */

Chain wan_local-6 (2 references)
 pkts bytes target     prot opt in     out     source               destination         
7430K 4170M RETURN     all      *      *       ::/0                 ::/0                 /* wan_local-6-10 */ state RELATED,ESTABLISHED
    0     0 RETURN     udp      *      *       ::/0                 ::/0                 /* wan_local-6-15 */ udp spt:547 dpt:546
    0     0 DROP       all      *      *       ::/0                 ::/0                 /* wan_local-6-20 */ state INVALID
47367 3275K RETURN     icmpv6    *      *       ::/0                 ::/0                 /* wan_local-6-25 */
19467 1557K RETURN     tcp      *      *       ::/0                 2a01:e0a:348:bda0:1337::2  /* wan_local-6-30 */ match-set SSH-clients-IPv6 src tcp dpt:22
    0     0 RETURN     tcp      *      *       ::/0                 2a01:e0a:348:bda0:1337::2  /* wan_local-6-40 */ match-set Xymon-clients-IPv6 src tcp dpt:1984
    0     0 RETURN     tcp      *      *       ::/0                 2a01:e0a:348:bda0:1337::2  /* wan_local-6-42 */ match-set Lognes-IPv6 src tcp dpt:1984
 3189  263K RETURN     tcp      *      *       ::/0                 2a01:e0a:348:bda0:1337::2  /* wan_local-6-50 */ state NEW,ESTABLISHED multiport dports 80,443
   63  4804 RETURN     tcp      *      *       ::/0                 2a01:e0a:348:bda0:1337::2  /* wan_local-6-60 */ tcp dpt:53
 135K   12M RETURN     udp      *      *       ::/0                 2a01:e0a:348:bda0:1337::2  /* wan_local-6-60 */ udp dpt:53
    0     0 REJECT     tcp      *      *       ::/0                 2a01:e0a:348:bda0:1337::2  /* wan_local-6-70 */ multiport dports 110,143,993,995 reject-with icmp6-port-unreachable
   21  1428 RETURN     tcp      *      *       ::/0                 2a01:e0a:348:bda0:1337::2  /* wan_local-6-80 */ multiport dports 25,465,587
    0     0 RETURN     tcp      *      *       ::/0                 2a01:e0a:348:bda0:1337::2  /* wan_local-6-90 */ tcp dpt:32400
  586 39086 LOG        all      *      *       ::/0                 ::/0                 /* wan_local-6-10000 default-action drop */ LOG flags 0 level 4 prefix "[wan_local-6-default-D]"
  586 39086 DROP       all      *      *       ::/0                 ::/0                 /* wan_local-6-10000 default-action drop */

Malgré le reset du firewall, pas de changement.
La capture réseau donne ça :

Code: [Sélectionner]

sudo tcpdump -i eth0 "icmp6 && (ip6[40] == 128 || ip6[40] == 129)"
tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
listening on eth0, link-type EN10MB (Ethernet), capture size 262144 bytes
17:09:15.358054 IP6 2a01:e0a:348:bda0::1 > par10s21-in-x03.1e100.net: ICMP6, echo request, seq 1, length 64
17:09:16.366504 IP6 2a01:e0a:348:bda0::1 > par10s21-in-x03.1e100.net: ICMP6, echo request, seq 2, length 64
17:09:17.390532 IP6 2a01:e0a:348:bda0::1 > par10s21-in-x03.1e100.net: ICMP6, echo request, seq 3, length 64
17:09:18.414420 IP6 2a01:e0a:348:bda0::1 > par10s21-in-x03.1e100.net: ICMP6, echo request, seq 4, length 64
17:09:19.438550 IP6 2a01:e0a:348:bda0::1 > par10s21-in-x03.1e100.net: ICMP6, echo request, seq 5, length 64
17:09:20.462391 IP6 2a01:e0a:348:bda0::1 > par10s21-in-x03.1e100.net: ICMP6, echo request, seq 6, length 64
17:09:21.486417 IP6 2a01:e0a:348:bda0::1 > par10s21-in-x03.1e100.net: ICMP6, echo request, seq 7, length 64
17:09:22.510384 IP6 2a01:e0a:348:bda0::1 > par10s21-in-x03.1e100.net: ICMP6, echo request, seq 8, length 64
17:09:23.534501 IP6 2a01:e0a:348:bda0::1 > par10s21-in-x03.1e100.net: ICMP6, echo request, seq 9, length 64
17:09:24.558418 IP6 2a01:e0a:348:bda0::1 > par10s21-in-x03.1e100.net: ICMP6, echo request, seq 10, length 64
^C
10 packets captured
20 packets received by filter
0 packets dropped by kernel

On voit bien les paquets partir, mais pas arriver...

kgersen · « **Réponse #111 le:** 29 novembre 2023 à 17:17:29 »

y'a "20 packets received by filter", relache la condition :

Code: [Sélectionner]

sudo tcpdump -i eth0 "icmp6"ca risque de faire du trafic mais y'a peut-être des infos utiles.

doktoil makresh · « **Réponse #112 le:** 29 novembre 2023 à 17:20:13 »

j'avais déjà tenté de mettre moins de critère dans le filtre, sans voir plus :

Code: [Sélectionner]

tcpdump -i eth0 "icmp6"
tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
listening on eth0, link-type EN10MB (Ethernet), capture size 262144 bytes
17:19:18.822560 IP6 fe80::72fc:8fff:fe68:2c36 > fe80::1: ICMP6, neighbor solicitation, who has fe80::1, length 32
17:19:18.822765 IP6 fe80::1 > fe80::72fc:8fff:fe68:2c36: ICMP6, neighbor advertisement, tgt is fe80::1, length 24
17:19:25.904650 IP6 2a01:e0a:348:bda0::1 > par21s11-in-x03.1e100.net: ICMP6, echo request, seq 1, length 64
17:19:26.924269 IP6 2a01:e0a:348:bda0::1 > par21s11-in-x03.1e100.net: ICMP6, echo request, seq 2, length 64
17:19:27.948269 IP6 2a01:e0a:348:bda0::1 > par21s11-in-x03.1e100.net: ICMP6, echo request, seq 3, length 64
17:19:28.972271 IP6 2a01:e0a:348:bda0::1 > par21s11-in-x03.1e100.net: ICMP6, echo request, seq 4, length 64
17:19:29.996276 IP6 2a01:e0a:348:bda0::1 > par21s11-in-x03.1e100.net: ICMP6, echo request, seq 5, length 64
17:19:31.020249 IP6 2a01:e0a:348:bda0::1 > par21s11-in-x03.1e100.net: ICMP6, echo request, seq 6, length 64
17:19:32.044251 IP6 2a01:e0a:348:bda0::1 > par21s11-in-x03.1e100.net: ICMP6, echo request, seq 7, length 64
^C
9 packets captured
10 packets received by filter
0 packets dropped by kernel

kgersen · « **Réponse #113 le:** 29 novembre 2023 à 17:31:17 »

ah c'est peut-etre fe80::1 qui gène la freebox (si c'est le cas il faudra que je creuse plus la question du pourquoi). c'est a tester !

dans le fond, tu n'en a pas vraiment besoin, c'était juste plus pratique pour configurer les choses coté Freebox mais effectivement si ca gene l'accès Internet de ton routeur lui-meme tu as 2 solutions:

A- ne pas mettre fe80::1 dans l'interface de la freebox pour ton /64 mais mettre la vraie adresse link-local fe80:... de l'interface eth0 de ton routeur
B- prendre un autre /64 dans l'interface de la freebox , le configurer comme la 1ere (vers fe80:1) et assigner statiquement une IPv6 de ce nouveau /64 a l'interface eth0. (tu as déjà valider que ca fonctionnait en utilisant le 1er /64 mais comme il est pour le lan, il faut en utiliser un 2eme pour le wan).

A est plus simple sauf si tu peux explicitement une IPv6 dans un /64 diffèrent pour le trafic de ton routeur.

doktoil makresh · « **Réponse #114 le:** 29 novembre 2023 à 19:38:35 »

alors j'ai essayé la solution A sans succès :-(

Code: [Sélectionner]

 delete interfaces ethernet eth0 address fe80::1/64
commit
ping6 google.fr
PING google.fr(par10s21-in-x03.1e100.net (2a00:1450:4007:80d::2003)) 56 data bytes
^C
--- google.fr ping statistics ---
5 packets transmitted, 0 received, 100% packet loss, time 4094ms

J'ai bien mis l'adresse IPv6 d'origine de l'interface eth0 comme next hop sur la freebox delta.
En parallèle, l'IPv6 marche toujours bien sur le réseau.

kgersen · « **Réponse #115 le:** 29 novembre 2023 à 19:54:01 »

y'avait peu de chance mais fallait tenter.
c'est meme mieux que ca ne marche pas ;p

apres pourquoi ca ne marche pas, la je sèche complètement. il y a peut être une subtilité qui m'échappe dans EdgeOS par rapport a un Linux classique ou un bug.

B devrait marcher toutefois vu que ca marchait pour le premier /64 ? faut espérer.

doktoil makresh · « **Réponse #116 le:** 29 novembre 2023 à 19:55:35 »

je vais faire sans, pas de souci

merci en tout cas pour ton aide et de facon générale pour le volume d'aide apporté dans ce fil !

bonne continuation

Zweit · « **Réponse #117 le:** 29 novembre 2023 à 19:58:12 »

Salut,

Tu pourrais poster ta config d'EdgeOS ici ?

doktoil makresh · « **Réponse #118 le:** 29 novembre 2023 à 19:59:15 »

tu me poses la question à moi ?

Zweit · « **Réponse #119 le:** 29 novembre 2023 à 20:02:02 »

Oui, j'ai quelques EdgeRouteurs en prod avec une configuration complète qui marche, je peux essayer de regarder s'il y a une différence notable qui expliquerait ton problème