IPV6 základní nastavení

Díky za informaci. Teď jsem to nastavil takto:

/ipv6 firewall filter
add action=accept chain=input in-interface=PPPoE-WAN protocol=icmpv6
add action=accept chain=input dst-port=546 in-interface=PPPoE-WAN protocol=udp
add action=drop chain=input in-interface=PPPoE-WAN

Zdá se, že to DHCP už asi komunikuje v pohodě, jenom nevím, jestli existuje nějaký další způsob ochrany toho input chainu.
Překvapilo mě, že se state connection to nefungovalo, myslel jsem, že když si o to DHCP klient požádal, tak že se automaticky otevře i cesta zpět.

radek_kovacik Překvapilo mě, že se state connection to nefungovalo

Ono se také connection state established,related normálně neomezuje jen na TCP. Ale nechává se bez protokolu.

Chápu, ale to nefungovalo bez ohledu na to, jaký protokol tam byl nastavený, jestli tcp nebo udp. Prostě state connection jsem musel zrušit a pak to začalo chodit a to právě nevím, proč se to tak chová.

V této podobě to s tím DHCPv6 také nechodí. Že by další bug? Musím tam mít ještě to pravidlo s tím UDP portem, bez něj ani rána a skončí to v dropu. Mimochodem, untracked jsou jaké spojení? Já myslel, že když je stavový firewal, že se všechno sleduje.

No bug, kdo ví. Spíš asi nedodělek. Požadavek od klienta jde na multicast adresu, server odpovídá z link-local udp/547 na opět link-local udp/546. Takže asi to explicitní povolení potřeba bude ... Jsem si do teď myslel, že to related bude. Zase tolik to nepoužívám.

Stavový firewall lze obejít pomocí notrack target v raw tabulce.

Já si to původně myslel taky, že to bude patřit do related a proto jsem to nechápal a raději jsem se zeptal zkušenějších.
Můžeš mi prosím ještě vysvětlit, proč mám teď ve Windows 10 dvě různé globální IPv6 adresy a třetí je link local. Jedna z těch globálních je označená jako dočasná a druhá prostě IPv6 adresa - k čemu to je dobré a dá se toho nějak zbavit?

Neodkazovali jsme (možná i přímo já) tě na tu knihu od CZ.NIC?

Těch adres tam můžeš mít velkou spoustu. link-local je základ a jedna globální také. To třetí bude nejspíš adresa kvůli privacy-extensions. Tedy dočasná, náhodně vytvořená, používaná jen pro odchozí spojení.
Privacy lze někde vypnout. Otázkou je, zda to potřebuješ a chceš.

radek_kovacik
To tak prostě má být. Počítač má jednu "běžnou" IP adresu která je vytvořena z prefixu a nějakého identifikátoru počítače. Ta adresa bude pořád stejná a identifikátor by pravděpodobně byl stejný i pokud se se stejným strojem připojíš k jiné síti. Díky tomu by mj. mohl někdo sledovat tvůj pohyb (stejný identifikátor = stejný člověk, ale jiná síť, takže ví, kde se pohybuješ).
Temporary adresa se v nějakých intervalech obměňuje, celkem běžně jich můžeš mít i více (nová se přidá ale ze staré jsou ještě aktivní spojení, takže se neuvolní. Ve výsledku to má spoustu výhod - do internetu totiž potom přistupuješ z jiné adresy než kterou používáš pro přístup zvenčí na svůj počítač... IPv6 je prostě jiný svět než IPv4, spousta věcí se změnila, některé k dobrému, některé minimálně na první pohled vypadají jako nesmysly (a třeba i jsou), ale je to prostě tak.

Díky za objasnění. Jestě jsem zkoušel si pingnout z routeru na počítač a na všech třech adresách mi to píše timeout - to se děje proč? Když jsem se díval na adresy samotného routeru, zaujalo mne, že několik různých rozhraní mělo stejnou LL adresu - to už nemusí být jedinečné?

Jsou jedinečné. Jsou lokální na lince.
Při jejich použití musíš vědět i rozhraní, přes které to má jít. Píše se za adresu za znak procent.

Prosím tě, přečti si něco. Ptáš se na naprosté základy.

radek_kovacik Jestě jsem zkoušel si pingnout z routeru na počítač a na všech třech adresách mi to píše timeout - to se děje proč?

Díval jsi se do firewallu ve Windows? Na IPv4 adresu PING jede? Ze zkušenosti vím, že Windows standardně nemá PING povolený.

radek_kovacik Když jsem se díval na adresy samotného routeru, zaujalo mne, že několik různých rozhraní mělo stejnou LL adresu - to už nemusí být jedinečné?

A proč by to mělo vadit? Je to link-local adresa = z názvu plyne, že je dostupná pouze na lince, neroutuje se. Když používáš link-local adresu, musíš vždy uvádět i interface. Např.: fe80::1%VLAN30

Link-local adresa je odvozena z MAC adresy fyzického rozhraní. Když nad tímto rozhraním vytvoříš virtuální (VLAN), tak praxí bývá, že se EUI-64 link-local adresa vygeneruje opět podle MAC adresy fyzického rozhraní, tudíž je stejná - ovšem na jiném L2 segmentu.

ludvik Já jsem se už mnohokrát díval do té knihy od nic.cz, ale tam mi to připadá někdy až zbytečně rozpitvaný do detailů a pak mi unikne ta důležitá a podstatná věc. Zvažoval jsem i její koupi, ale nejsem si jistý, že by mi byla ku prospěchu.
Mimochodem, to číslo rozhraní za % - to se také generuje náhodně? Já mám na počítači jediný port a Windows ukazují číslo 11.

obud Máš pravdu, ve firewallu to bylo zakázané. Teď už to pingá. Já jsem cca před 14 dny přecházel z Windows 7 na 10 a nenapadlo mě, že taková základní věc se musí ve firewallu extra povolit, když jinak jsme z Redmondu sledovaní na každém kroku.