O2 veřejná IPv6 + Unify USG a přístup na NAS - Vyřešeno!

Miloslav · 2023-09-01T17:07:17+00:00

Předně prosím nepište odpovědi typu kup si veřejnou IPv4 tato je u O2 za 250,- což je pro mne neschůdné a mám za malý peníz O2 IPv6 prefix::/64 a chtěl bych...

majklik

Chlapi, neposílejte nesťastníka od čerta k ďáblu, když je asi třeba jít asi za Luciferem...
Tak tazatel píše, že mu IPv6 v LAN funguje. Asi otestoval, že se na ten QNAP dostane zadáním IPv6 adresy [2...:...:....]. Pokud mu funguje IPv6 z LAN i do Internetu, že mu jede nějaká IPv6 stránka typu speedtest6.cesnet.cz, tak má IPv6 funkční.
Takže pokud jsem někde pryč, kde mám také ověřené funkční připojení po IPv6 do Internetu a nemůžu se dostat domů na tu samou [2...:...:....], tak bych šel hledat prvně do toho Unify USG routeru. Pokud se drží doporučení, tak by měl defaultně blokovat příchozí IPv6 spojení do vnitřku LAN (vyjma IPsec a pár podobných, teoreticky i ping by měl být průchozí). Takže prvně podpora Ubiquiti. :-)
O2 příchozí spojení na IPv6 v pevné síti něco blokoval (na mobilní síti vše). Asi DNS a SMTP (UDP/53, TCP/25), ale ostatní bylo otevřeno, tohle si leda vymlátit z toho O2 Guru, abych se nesnažil připojovat domů něčím, co také blokují (doporučuji katovské kurzy v Housově mlýně/Tábor, taková správně provedená technika lámání kolem v zostřeném režimu rozpovída i toho Guru).

Miloslav

majklik díky za podporu, jsem takový domácí kutil a tato problematika mě zajímá a pokud se bude trh s IPv4 ubírat směrem jako u O2 tak si myslím že bude víc takových jako jsem já a budou mít ode mne návod jak postupovat od začátku

Asi otestoval, že se na ten QNAP dostane zadáním IPv6 adresy [2...:...:....]. Pokud mu funguje IPv6 z LAN i do Internetu

ano toto je v pořádku konektivita ven do internetu 10/10, připojení a ping v lan síti také funguje na všech zařízeních

nemůžu se dostat domů na tu samou [2...:...:....], tak bych šel hledat prvně do toho Unify USG routeru

ano to je ten problém, hledám někoho kdo to již řešil a tak bude mít hned nějaký pohotový nápad, procházel jsem fora ubiquity ale nic rozumného jsem nenašel. Když jsem měl veřejnou IPv4 tak to bylo jednoduché po zadání IPčka jsem se dostal k USG a tento to pak přes Port Forwarding poslal dále.
Nyní mám v USG ve FW tyto pravidla
3001 Accept All Internet v6 In Allow Established/Related Sessions 3002 Drop All Internet v6 In Drop Invalid State 3001 Accept IPv6-ICMP Internet v6 Local Allow Neighbor Advertisements 3002 Accept IPv6-ICMP Internet v6 Local Allow Neighbor Solicitation 3003 Accept All Internet v6 Local Allow Established/Related Sessions 3004 Accept UDP Internet v6 Local Allow DHCPv6 3005 Accept IPv6-ICMP Internet v6 Local Allow Router Advertisements 3006 Drop All Internet v6 Local Drop Invalid State

Pro LAN nejsou definována žádná pravidla

O2 příchozí spojení na IPv6 v pevné síti něco blokoval , abych se nesnažil připojovat domů něčím, co také blokují

Našel jsem hodně zajímavý článek o domácím síťování https://pctuning.cz/article/male-domaci-sitovani-nedrhne-to-nekde-a-nevystavuju-se-moc#article-header tady je v kapitole 9 pěkně popsána problematika portů v IPv6 a také nástroje pro kontrolu mého připojení no a z těch mi vychází toto
dále je pár nástrojů třeba http://ipv6.my-addr.com/online-ipv6-port-scan.php nebo https://dnschecker.org/port-scanner.php
Jediný problém který vidím že nemám načtená žádný DNS6.
Nelze se také pingnout na žádný port do mého PC

jcltm no úplně mimo nejsem, vím že se jedná o blok adres, ale jak to chápu já tak tento blok má veřejný prefix a já se snažím dopátrat jak s tímto pracovat, už jsem pročetl dost článků ale zatím jsem nenarazil na žádný který by polopaticky popsal můj problém. Jinak čekám až se tady u nás dokope optika někdy koncem příštího roku a pak snad bude situace více příznivější

jcltm

Miloslav Jsi evidentně fakt úplně mimo co se týče pochopení IPv6. /64 prefix fakt není jedna adresa, ale 2 na 64 adres. Jedna adresa je /128. Studuj, zdrojů najdeš na netu hafo.
Moc ale nechápu tvou snahu, když dnes není IPv6 ještě zdaleka všude - nebylo by fakt jednodušší přejít k tomu Metronetu, kde dostaneš kromě (na rozdíl od O2 nezmršeného) /56 prefixu IPv6 i jednu IPv4 veřejku? Dost možná oproti O2 i ušetříš, pomocí OKU je dnes navíc přechod bezbolestný.

pelirob

Copak jste to nepochopili - ten pán nechce radu (tu dostal - jít k Metronetu. Tam by dostal lepší zákaznickou podporu než O2GURU, nezkriplenou šestku a jako bonus i veřejnou IPv4 adresu). Ten pán chce vyřešit problém. A nezajímá ho že je víkend, křišťálové koule mají zrovna volno a tak na fóru nezná podrobně konfiguraci jeho QNAPu, jeho Unify USG, jeho O2 připojení.
Chápu že nikdo učená z nebe nespadl (ale pi...................... dál to asi znáte), taky jsem do fóra položil pěknou řádku stupidních dotazů, ale když už jsem tady radu dostal, tak jsem se jí většinou řídil, protože vím že ten co mi zdarma a o své dobré vůli radí většinou o problému ví o několik světelných let víc než já.

Miloslav Chci se jen dopátrat jak pracovat s prostředím IPv6 z vnějšího internetu do mé sítě

FIREWALL - předpokládám že je v základním nastavení, tj. veškerá nová odchozí komunikace je povolená, veškerá nová příchozí je zakázaná (bezpečnost!!!). Pokud se má nový packet z venku dostat dovnitř sítě, bude potřeba konkrétní komunikaci povolit na firewallu. Velmi pečlivě zvážit, jaký provoz chci bez kontroly pustit zvenku do vnitřní sítě, jinak to skončí s velmi nepříjemnými následky, obzvlášť u zařízení typu QNAP.
Tak si kromě IPv6 ještě nastudujte jak funguje firewall a nebo si na to objednejte odborníka...

zajdee

Miloslav adresy v IPv6 jsou globální, takže adresa pro přístup k NASu je shodná, ať už k němu přistupujete z vnitřní nebo vnější sítě. Není třeba řešit žádná směrování portů ani (pro tento případ) zjišťovat IPv6 adresy routeru.
Je ale třeba povolit na routeru ve firewallu i na firewallu v NASu (pokud se používá) přístup zvenku na ten NAS, tj. na jeho IPv6 adresu.
Zvažte ale, jesli opravdu chcete dát k vašemu NASu přístup celému IPv6 internetu, nebo jen některé síti.

Nakonec zkontrolujte, že IPv6 konektivitu má i klient v internetu, ze kterého chcete k NASu přistupovat. Třeba v mobilní síti VF k aktivaci IPv6 teprve dochází, s TM máte smůlu úplně (navíc mobilní sítě mají dynamické prefixy, čímž se tvorba pravidel firewallu stává problematickou).

PS: přejít k Metronetu není špatná volba. Za statický IPv6 prefix /56 platit nebudete ani korunu, navíc dostanete i tu veřejnou IPv4 adresu. Pokud si budete pro přístup do vnitřní sítě chtít rozjet VPN s podporou IPv6, ta jedna /64 od O2 vám stejně stačit nebude.

petrbacina

Neblokuje takhle náhodou O2 přístup z venku na IPv6 dokud si zákazník nezaplatí "statickou" společně s IPv4?

Jinak se připojuji k ostatním. Vysrat se na celé O2 a jít někam, kde IPv6 umí a kde jsou schopný se o zákazníka postarat. Výmluvy na výhodné balíčky s telefony neberu, nic takového neexistuje! Nikdy to není výhodný balíček.

zajdee

petrbacina na DSL/FTTH neblokuje, na mobilnich datech jo (a tam statickou variantu pro zmenu nepodporuji vubec).

jcltm

petrbacina Na DSL fakt neblokuje.

hapi

A není na routeru ve firewallu zapnuta blokace příchozích spojení?

Miloslav

hapi Nejsem si zcela jist proto níže upřesnění všech nastavení FW

Připojení začíná na VDSL routeru ZXHN H168N V3.1 u tohoto mám nastaven režim bridge pro VDSL
Nevím zda je nutné také převést ADSL data na bridge viz

Dále pak nastavení FW, u tohoto není možnost úplné deaktivace ale pouze
předpokládám však, že když je použit režim bridge tak je tento FW neaktivní a o vše by se měl postarat až následující router, nebo se mýlím?

Dále pak je nastaven USG Unify následovně
kde jediný parametr u kterého si nejsem jistý je IPv6 Prefix ID který nelze nijak nastavit a končí chybou "Failed saving network "Default". This action could not be completed. Please check your IPv6 settings." pokud zadám jakoukoliv hodnotu

Firewal pak obsahuje následující

kdy položka test jsou má vložená pravidla a jsou typu "ANY" aby nebylo nic blokováno (samozřejmě zatím jen pro testovací účely, později bude nastaveno přesné směrování)

A zde jsem v koncích ne a ne se dostat např. na NAS kde chci zpřístupnit web server (tento je jen pro mé potřeby)

Miloslav

Tak pozor, už se něco změnilo, nyní jsem znovu testnul přístup ze svého mobilu (s vypnutou wifi, kdyby náhodou byly připomínky) a již to funguje, jedinou změnu kterou jsem udělal byla změna nastavení FW v ZXHN H168N V3.1 z hodnoty Střední ( Doporučeno ) na Nízká takže to byl ten zakopaný pes

V příspěvku výše je tedy návod jak nastavit IPv6 pro VDSL router např O2 a síť postavenou na prvcích Ubiquity Unify, snad to pomůže někomu dalšímu kdo bude řešit podobný problém

Miloslav

Nyní již je jednoduché nadefinovat pravidla pro přístup

Destination -> IPv6 Address Group vybrat nebo vytvořit skupinu IP adres na které budeme směřovat
Destination -> Port Group vybrat nebo vytvořit skupinu portů které budou povoleny

a na stránkách http://www.ipv6scanner.com/cgi-bin/main.py otestujeme

Díky všem co se mě snažili navést, každé malé nakopnutí pomohlo k výsledku 😃

svestka

No, pokud celý problém byl v "... .jedinou změnu kterou jsem udělal byla změna nastavení FW v ZXHN H168N V3.1 z hodnoty Střední ( Doporučeno ) na Nízká ...", tak je to celé spíše k pousmání 🙂

zajdee

To zni zvlastne. Ten firewall na Zyxelu by nemel mit zadny vliv, kdyz PPPoE vytaci USG.

majklik

Nu, tazateli je nutno poblahopřát k vítězství. :-)
A ohledně toho firewallu - to jsem už kdysi potkal, že i když byl DSL modem v bridge režimu, tak stále hrabal do provozu. A asi to byl Zyxell.
Ono vlastně, když vezmu Mikrotika, udělám si na něm bridge a zapnu "Use IP firewall", případně i s tím "Use IP firewall for VLAN/PPPoE", tak do toho bude hrabat také...

« Předchozí stránka