IPv6 Suomessa

[vesas]

Tässä äärimmäisen lyhyt ohje. Aluksi on 4G-purkki joka laitetaan bridgeksi. Sitten on toinen purkki missä on Openwrt oletusasetuksilla.

Huawei ei taida muuttaa toimintaansa IPv6 osalta mitenkään silta-router tilojen välillä, tämä näyttää vaikuttavan vain IPv4:seen. B525 ja B818 ainakin näyttää toimivan noin. Eli parhaiten toimiva IPv4 konffi jossa modeemi on routter tilassa ja erillinen palomuuri sitten DMZ:ssä toimii myös IPv6 NDP relay asetuksella. ZTE MC7010 vaati bridge-tilan DNA:n vanhemmalla firmwarella että NDP proxy sai jaettua IPv6 osoitteet sisäverkkoon. Miten lie nykyisellä, ei ole laitetta enää itsellä.

 

[love_doctor]

Masteri unehtui mainita. Tässä kuvina:

wan taikka wan6 säädöt kumpi vaan käy kun ovat van aliaksia samasta interfacesta.


lan säädöt:


Noilla pitäs rokata.

Tää relay mode on tosiaan OpenWRT:n tarjoama purkka, en tiijä että onko oikein missään muussa reitittimessä moista tarjolla.

Tuo ndp proxy on ihan "standarditapa" Linuxeissa, jos ei ole prefix delegationia. Koitin tota joskus, kun oli ZTE:n mokkula ja siinä oliko nyt Elisan 4G. Valitettavasti siinä tuo IPv6 ei toiminut tuolla tavalla kunnolla vaan yhteys oli satunnaisen epävakaa. Johtui siinä tapauksessa paskasta mokkulan firmiksestä. Lahjoitin laitteen pois eikä vastaanottajakaan saanut IPv6:tä ymmärtääkseni sillä pelittämään toisessa kokoonpanossa.

 

[Marquette]

Huawei ei taida muuttaa toimintaansa IPv6 osalta mitenkään silta-router tilojen välillä, tämä näyttää vaikuttavan vain IPv4:seen. B525 ja B818 ainakin näyttää toimivan noin. Eli parhaiten toimiva IPv4 konffi jossa modeemi on routter

Ipv6-portit ovat kaikki sulki ulkoa sisään B818:lla reitittävässä tilassa, eikä niitä voi avata (ainakaan) puhelin-liittymissä. B818 siltatila + erillinen Openwrt + relay + Openwrt:n ipv6-palomuuri antaa mahdollisuuden avata vain haluamansa.

 

[mikajh]

Tää relay mode on tosiaan OpenWRT:n tarjoama purkka, en tiijä että onko oikein missään muussa reitittimessä moista tarjolla

OPNsense:ssä community plugin ndproxy (Neighbour Discovery Proxy) — OPNsense documentation

 

[pulatunnus]

Ipv6-portit ovat kaikki sulki ulkoa sisään B818:lla reitittävässä tilassa, eikä niitä voi avata (ainakaan) puhelin-liittymissä. B818 siltatila + erillinen Openwrt + relay + Openwrt:n ipv6-palomuuri antaa mahdollisuuden avata vain haluamansa.

Tarkoitatko puhelin-liittymillä jonkin operaattorin puheliittymiä, (esim Elisa jolla ei saa puhe liittymiin julkista IPv4sta IPv6 tuki olisi), vai jotain android/iPhone sovellusta ko modeemi hallintaa / sen hallintaa puhelimen selaimella.

Oletan että jälkimmäistä jos ne portit on auki tuossa Openwrt versiossa

Edit, ilmeisesti puhelittymä ei tähän liittynyt

Tämä ei näytä pitävän paikkaansa. Ipv6 on auki ulkoa sisään jos Huawei on siltana (Elisa,Moi). Joku normaali perus apn.

 

[Marquette]

Tarkoitatko puhelin-liittymillä jonkin operaattorin puheliittymiä, (esim Elisa jolla ei saa puhe liittymiin julkista IPv4sta

Omaa kokemusta on Elisa, Dna, Moi puhelinliittymistä, joiden simmin olen laittanut Huawei B818:aan.

 

[pulatunnus]

Omaa kokemusta on Elisa, Dna, Moi puhelinliittymistä, joiden simmin olen laittanut Huawei B818:aan.

Varmistan että ymmärsin oikien. en vielä ihan suorilta niele.

- Jos puhe liittymä, niin operaattorilla vahva palomuuri, vahvasti oletuksena tulevat portit kiinni. (Ipv6)
- Jos data liittymä, niin operaattorilla köykänen palomuuri, ja portit oletuksena auki. (ipv6)

Ja seraavalla kommentila
" B818 siltatila + erillinen Openwrt + relay + Openwrt:n ipv6-palomuuri antaa mahdollisuuden avata vain haluamansa." , sinulla sitten data liittymä, missä operaattorin palomuurissa tulevat lähtökohtaisesti auki.


Edit:
Käytitkö oletus APNää, vai käsin määriteltyä ?

Edit, ilmeisesti väärin käsitys

Tämä ei näytä pitävän paikkaansa. Ipv6 on auki ulkoa sisään jos Huawei on siltana (Elisa,Moi). Joku normaali perus apn.

 

[Marquette]

- Jos puhe liittymä, niin operaattorilla vahva palomuuri, vahvasti oletuksena tulevat portit kiinni. (Ipv6)

Tämä ei näytä pitävän paikkaansa. Ipv6 on auki ulkoa sisään jos Huawei on siltana (Elisa,Moi). Joku normaali perus apn.

 

[love_doctor]

Varmistan että ymmärsin oikien. en vielä ihan suorilta niele.

Ja seraavalla kommentila
" B818 siltatila + erillinen Openwrt + relay + Openwrt:n ipv6-palomuuri antaa mahdollisuuden avata vain haluamansa." , sinulla sitten data liittymä, missä operaattorin palomuurissa tulevat lähtökohtaisesti auki.

Kuulosti kyllä että tuossa otettiin kantaa Huawein laitteen ominaisuuksiin. Ei se liittymä paljon auta jos modeemi palomuuraa kaiken. Siltatilassa ilmeisesti ohitetaan palomuuri.

 

[JiiPee]

Tuo ndp proxy on ihan "standarditapa" Linuxeissa, jos ei ole prefix delegationia. Koitin tota joskus, kun oli ZTE:n mokkula ja siinä oliko nyt Elisan 4G. Valitettavasti siinä tuo IPv6 ei toiminut tuolla tavalla kunnolla vaan yhteys oli satunnaisen epävakaa. Johtui siinä tapauksessa paskasta mokkulan firmiksestä. Lahjoitin laitteen pois eikä vastaanottajakaan saanut IPv6:tä ymmärtääkseni sillä pelittämään toisessa kokoonpanossa.

Mutta koko viritelmä millä saadaan toi /64 jaettua ei oo. Tuossa juuri myöhemmin tulikin OPN::st'ä tietoa että community on siihen viritellyt purkan. Aikoinaan tämän OpenWRT purkan ihan OpenWRT devaaja irc kanavalla kertoi. Toi kun ei ole RFC:n mukaista toimintaa miten tuossa relayn kanssa osoitteita jaellaan.

 

[mikajh]

Näköjään sellainen kehitys on tapahtunut Android-luureissa jossakin vaiheessa, että mobiilitukiasemassa toimii nyt IPv6 (Samsung S21 ja A54).

 

[love_doctor]

Mutta koko viritelmä millä saadaan toi /64 jaettua ei oo. Tuossa juuri myöhemmin tulikin OPN::st'ä tietoa että community on siihen viritellyt purkan. Aikoinaan tämän OpenWRT purkan ihan OpenWRT devaaja irc kanavalla kertoi. Toi kun ei ole RFC:n mukaista toimintaa miten tuossa relayn kanssa osoitteita jaellaan.

Niin. Välttäisin itse tuollaisia, kun joskus yritin enkä saanut pelittämään. Tämä IPv6-hommakin on ihme perseilyä operaattorien toimesta. Tekniikan vaihtuessa osoiteavaruus kasvaa, mutta edelleen mustasukkaisesti halutaan jakaa yksittäisiä osoitteita, ehkä vielä ipv6-natin takaa (ehkä tuplanatti jopa), palomuurataan yli-innokkaasti ja sitten on vielä Telian iänikuinen 6rd. Ei voi kovin rapidista deploymentista puhua kun siirtymä kestää vuosikymmeniä tätä menoa.

 

[love_doctor]

Näköjään sellainen kehitys on tapahtunut Android-luureissa jossakin vaiheessa, että mobiilitukiasemassa toimii nyt IPv6 (Samsung S21 ja A54).

Mites se toimii noissa liittymissä, jossa prefix delegation ei toimi vakiona?

 

[pulatunnus]

Tämä ei näytä pitävän paikkaansa. Ipv6 on auki ulkoa sisään jos Huawei on siltana (Elisa,Moi). Joku normaali perus apn.

Ymmätsinkö nyt oikein.
Puhe tai data liittymä, niin IPv6lla portit oletusarvoisesti normaalisti auki, netti toimii molemmilla normaalisti.

 

[Marquette]

Kyllä, siis puhelin-simmejä (ei dataliittymiä) mutta tungettu huaweihin. Huawei silta-tilassa ja toinen Openwrt-purkki ndp relay-tilassa. Kokeile niin yllätyt.

Ja en suosittele sitten mitään "super port scanner" webbisivua, ne ilmoittelevat mitä sattuu, vaikka sinne kelpaisi ipv6 ja tcp/udp ja portti. Ne siis lähettävät kyllä pakettia oikeaan osoitteeseen ja porttiin, mutta nettisivu saattaa kertoa closed tms. .... vaikka samaan aikaan mulla on tcpdump päällä niin hyvin tulee paketti perille.

Olen käyttänyt tätä ipv6-porttien aukioloa torrentti-hommissa (laillisessa) ja pari kertaa laitoin hetkeksi nginx:in tarjoilemaan oletussivua ja pyysin kaveria surffailemaan sinne. Voisi sinne laitella varmaan muitakin i2p, tor juttuja .. mutta ipv6-osoite ei pysy samana kovin pitkään. Mutta onhan niitä ddns ipv6-only saitteja.

 

[pulatunnus]

Kokeile niin yllätyt.

Yllätyt ? Eikö se ole normaali odotus että IPv6 nettiliittymässä on lähtökohtaisesti portit auki. Se tarina mikä kuullosti että olisi kaikki oletuksen kiinni hämmensi.

Sori että en osannut mutoilla kysymystäni yksiselitteisen selkeäksi.

 

[Marquette]

Eikö se ole normaali odotus että IPv6 nettiliittymässä on lähtökohtaisesti portit auki

No eipä ole, jos edelleen puhutaan puhelinliittymä + huawei b818. Huawei blokkaa reitittävässä normaalitilassa kaiken ipv6:n ulkoa sisään (ulkoa aloitetut). Huaweissa on asetusnappi firewall, jonka voi laittaa disabled, mutta sillä ei tuntunut olevan mitään vaikutusta. Samoin kuin ei dmz -asioilla eikä millään muullakaan upnp, port forward, ipv6 whitelist. Vain bridge tuntui vaikuttavan oikeasti asioihin.

Mutta kokeile itse, kun en minä voi todistaa oikein mitään täältä

 

[mikajh]

OPNsense:ssä community plugin ndproxy (Neighbour Discovery Proxy) — OPNsense documentation

Ei nyt superhyvä ollut tuo nd proxy plugin -dokumentaatio tällä hetkellä, mutta nähtävästi sain sen kokeeksi toimimaan (opnsense 25.7.2).
Minulla on ollut Huawei B818 vähän tyhjän panttina Moi laitenetti -simmin kanssa (reitittävässä tilassa), ja IPv4 kulkee VDSL2:n kautta. Koska tuossa liittymässä nopeudet on 0.5/5 Mbit/s, niin ndproxyä ei luultavasti voi pitää päällä, koska clientit preferoivat sitä, mutta liittymän hitauden takia se on muuten käyttökelvoton.

Korvaa ohjeen tyrkyttämä fe80::200:ff:fe00:0 oman IPv6-mobiilireitittimen LAN-puolen link local-osoitteella.

Kokoan tähän omaan setupiin tarpeellisia lisäyksiä ohjeeseen:
- System / Gateways / Configuration - WAN2 (untick Disabled, tick Upstream Gateway)
- Interfaces / WAN2 / Static IPv6 configuration - IPv6 gateway rules: valitsin tähän detault ipv6 gatewayn (ei Disabled)
- Services / Router Advertisements - LAN : Router Advertisements=Stateless, tick Advertise Default Gateway

Lisääkin saa kysyä, vaikka ainahan ohjeet vaativat jonkin verran soveltamista

 

[pulatunnus]

No eipä ole, jos edelleen puhutaan puhelinliittymä + huawei b818. Huawei blokkaa reitittävässä normaalitilassa kaiken ipv6:n ulkoa sisään (ulkoa aloitetut). Huaweissa on asetusnappi firewall, jonka voi laittaa disabled, mutta sillä ei tuntunut olevan mitään vaikutusta. Samoin kuin ei dmz -asioilla eikä millään muullakaan upnp, port forward, ipv6 whitelist. Vain bridge tuntui vaikuttavan oikeasti asioihin.

Mistä se Huawei tietää onko sinulla puhe vai dataliittymänä myyty liittymä ?

Oletko ihan varma ettei se purkki käyttäydy ihan samoin riippumatta sopparista, jos nimenomaan eri SIMien välillä on eroa, niin kokeile käsin asettaa APN.

 

[love_doctor]

Ja en suosittele sitten mitään "super port scanner" webbisivua, ne ilmoittelevat mitä sattuu, vaikka sinne kelpaisi ipv6 ja tcp/udp ja portti. Ne siis lähettävät kyllä pakettia oikeaan osoitteeseen ja porttiin, mutta nettisivu saattaa kertoa closed tms. .... vaikka samaan aikaan mulla on tcpdump päällä niin hyvin tulee paketti perille.

Porttiskannereissa closed voi tarkoittaa ettei ko. palvelu ei vastaa. Ei se tarkoita etteikö viesti menisi perille. Yleensä noissa suljettu tarkoittaa sitä, miten normaali kone vastaisi jos siinä ei ole palomuuria. Palomuuri voi lisäksi pudottaa vielä paketit pois ja takaisin ei tule mitään viestiä.