Problemă IPv6: WAN funcționează, dar prefixul delegat LAN nu primește răspuns până la renew

[qlf]

Salut,

Am o problemă cu IPv6 Prefix Delegation pe conexiunea Orange fibra.

Setup-ul meu este așa: ONT-ul Orange este în bridge, iar în spatele lui folosesc routerul meu. IPv4 îl primesc prin DHCP pe WAN, iar IPv6 prin DHCPv6-PD pe WAN6. Routerul primește o adresă IPv6 pe WAN și un prefix delegat /56, din care alocă mai departe IPv6 pe LAN.

Menționez că nu folosesc IPv6 primit de la ONT. Informațiile IPv6 le iau direct prin DHCPv6-PD de la serverul Orange/upstream, nu din RA sau DHCPv6-PD de la ONT.

În mod normal totul funcționează bine. Problema apare în special după restartarea ONT-ului, dar mi s-a întâmplat și aleatoriu în timpul funcționării, fără să repornesc nimic.

Când problema apare, IPv6-ul de pe router continuă să funcționeze. De exemplu, traficul IPv6 sursat din adresa WAN merge. În același timp, pe LAN totul pare configurat corect: prefixul /56 este primit, LAN-ul are subnet din acel prefix, iar clienții primesc adrese IPv6. Totuși, traficul din prefixul LAN nu mai primește răspuns din internet.

Am făcut test cu tcpdump direct pe interfața WAN a routerului. În starea defectă, văd pachetele plecând corect către gateway-ul Orange:

2a02:a58:96be:xx00::1 > 2606:4700:4700::1111 ICMPv6 echo request

Pachetele sunt trimise către gateway-ul Orange, dar nu primesc reply.

Dacă forțez un renew DHCPv6-PD pe router, fără să schimb altceva în configurație, același test începe imediat să primească răspuns:

2606:4700:4700::1111 > 2a02:a58:96be:xx00::1 ICMPv6 echo reply

Din ce văd eu, pachetele din prefixul delegat pleacă din router către Orange, dar ruta de retur pentru prefixul delegat pare să nu mai fie activă până când se face renew DHCPv6-PD.

Vă rog să verificați pe partea de rețea Orange dacă binding-ul sau ruta de retur pentru prefixul meu delegat /56 rămâne blocată, expiră incorect sau nu se reactivează corect după restart ONT sau reconectare.

Pe scurt:

1. ONT Orange în bridge.
2. Router propriu în spatele ONT-ului.
3. IPv4 prin DHCP.
4. IPv6 prin DHCPv6-PD, direct de la serverul Orange.
5. Nu folosesc RA/DHCPv6-PD de la ONT pentru IPv6.
6. IPv6 WAN funcționează.
7. Prefixul delegat /56 este primit și asignat pe LAN.
8. Traficul din prefixul LAN pleacă spre gateway-ul Orange.
9. Răspunsurile nu se întorc.
10. După DHCPv6-PD renew, răspunsurile apar imediat.

Pare o problemă de DHCPv6-PD binding sau rută de retur pentru prefixul delegat, nu o problemă locală de LAN.

Multumesc.

[qlf]

Daca vrei ceva setari ss, spune-mi si pot posta aici.

[Viper]

Am cerut mai sus. Poți pune regulile create de tine, setările pentru IPv6 etc.

[qlf]

Setari IPv6

Firewall:

Setari interfete:

[qlf]

Am pus /64 length pe lan si are acelasi comportament.

[Viper]

Nu am văzut ceva grav în afară de acel IPv6 assignment length care ar trebui să fie 64, IPv6 assignment hint poți să lași gol.

Poți să arăți și Interfaces > lan > DHCP Server > IPv6 Settings și IPv6 RA Settings?

[qlf]

Pentru lan spune clar: 

[Viper]

Da, eu m-am referit la hint-ul de mai sus unde ai "0000" momentan.

Daca lași Default Router din IPv6 RA settings pe automatic se întâmplă la fel?

Am făcut și eu o captură de pachete să văd ce se întâmplă la restart-ul ONT-ului:

Nimic anormal.

[qlf]

Da, comportamentul este la fel. O sa fac un downgrade la fw sa vad poate au ei un bug.

[qlf]

Am testat 2 fw-uri mai vechi, acelasi lucru. E clar ca Orange are o problema pe profilul meu de ipv6.

[Viper]

Poți să vezi ce se întamplă și la tine exact la repornirea ONT-ului:

tcpdump -i eth0 -n -s 0 -vvv "udp port 546 or udp port 547"

[qlf]

Routerul trimite Solicit și cere atât adresă IPv6 pe WAN, cât și prefix delegat:

fe80::9683:c4ff:feXX:XXXX.546 > ff02::1:2.547: dhcp6 solicit
  option-request SIP-servers-domain SIP-servers-address DNS-server DNS-search-list SNTP-servers NTP-server AFTR-Name
  client-ID hwaddr type 1 9483c4xxxxxx
  reconfigure-accept
  IA_NA IAID:1 T1:0 T2:0
  IA_PD IAID:1 T1:0 T2:0

Primul Advertise vine de la serverul/gateway-ul Orange/upstream și oferă atât adresa WAN IPv6, cât și prefixul delegat /56:

fe80::2621:24ff:feXX:XXXX.547 > fe80::9683:c4ff:feXX:XXXX.546: dhcp6 advertise
  server-ID hwaddr type 1 242124xxxxxx
  client-ID hwaddr type 1 9483c4xxxxxx

  IA_NA IAID:1 T1:43200 T2:68400
    IA_ADDR 2a02:a58:8906:xxxx::1
    pltime:86400
    vltime:90000

  IA_PD IAID:1 T1:43200 T2:68400
    IA_PD-prefix 2a02:a58:96be:xx00::/56
    pltime:86400
    vltime:90000

  AFTR-Name dslite.orangero.net
  DNS-server 2a02:a58:21:21::1 2a02:a58:21:21::2

Mai apare și un al doilea Advertise, de la ONT:

fe80::3a91:48ff:feXX:XXXX.547 > fe80::9683:c4ff:feXX:XXXX.546: dhcp6 advertise
  client-ID hwaddr type 1 9483c4xxxxxx
  server-ID hwaddr type 6 389148xxxxxx

  IA_NA IAID:1 T1:0 T2:0
    status-code NoAddrsAvail

  preference 7
  DNS-server fe80::3a91:48ff:feXX:XXXX

Apoi routerul trimite Request către serverul Orange/upstream, nu către ONT:

fe80::9683:c4ff:feXX:XXXX.546 > ff02::1:2.547: dhcp6 request
  client-ID hwaddr type 1 9483c4xxxxxx
  server-ID hwaddr type 1 242124xxxxxx

  IA_NA IAID:1 T1:0 T2:0
    IA_ADDR 2a02:a58:8906:xxxx::1
    pltime:86400
    vltime:90000

  IA_PD IAID:1 T1:0 T2:0
    IA_PD-prefix 2a02:a58:96be:xx00::/56
    pltime:86400
    vltime:90000

Reply-ul final vine tot de la serverul Orange/upstream:

fe80::2621:24ff:feXX:XXXX.547 > fe80::9683:c4ff:feXX:XXXX.546: dhcp6 reply
  server-ID hwaddr type 1 242124xxxxxx
  client-ID hwaddr type 1 9483c4xxxxxx

  IA_NA IAID:1 T1:43200 T2:68400
    IA_ADDR 2a02:a58:8906:xxxx::1
    pltime:86400
    vltime:90000

  IA_PD IAID:1 T1:43200 T2:68400
    IA_PD-prefix 2a02:a58:96be:xx00::/56
    pltime:86400
    vltime:90000

  AFTR-Name dslite.orangero.net
  DNS-server 2a02:a58:21:21::1 2a02:a58:21:21::2

Si totusi pe LAN nu am trafic functional...

[Viper]

Nu pare a fi problemă de la Orange, din fericire. Cât timp acel reply vine din partea lor, ruta este activă la ei.

Dar nici nu am un router cu OpenWrt conectat la Orange acum să testez chestii. 🤔

[qlf]

În starea defectă, prefixul /56 era deja vizibil local, rutele locale existau, iar pachetele din prefixul LAN plecau pe eth0 către gateway-ul Orange. Totuși, nu se întorcea niciun reply pentru traficul sursat din prefixul delegat.

După renew, vine DHCPv6 Reply de la Orange și imediat încep să apară și reply-urile ICMPv6 pentru același trafic din prefixul LAN.

Deci eu nu spun că serverul Orange nu răspunde deloc. Din contră, răspunde la renew. Ce încerc să înțeleg este de ce, înainte de renew, prefixul pare valid local și pachetele pleacă spre Orange, dar returul pentru acel prefix nu funcționează până când DHCPv6-PD este reînnoit.

DHCPv6 Reply demonstrează că renew-ul funcționează, dar nu demonstrează neapărat că ruta de retur pentru prefix era activă și înainte de renew. Din testul cu tcpdump, pare mai degrabă că acel renew actualizează ceva pentru prefixul delegat.

[Viper]

Cel puțin suspect, ai idee ce versiune de OpenWrt are firmware-ul tău în spate?

[qlf]

Ai aici versiunea de openwrt