ipv6 routing firwall

dax · 24 Juni 2014

Hallo,
ich habe mich an ipv6 versucht. Folgende Adressen habe ich von Hand vergeben.

von Fritzbox eth0 2a01:1e8:abcd:0:aaaa/64
zum LAN eth1 2a01:1e8:abcd:1:bbbb/64
zum WLAN eth2 2a01:1e8:abcd:2:cccc/64

Die Clients an eth1 und eth2 werden per radvd mit ipv6 Adressen versorgt.

Forwarding ist eingeschaltet.

Code:

sysctl -a|grep "v6.*\.forw"
net.ipv6.conf.all.forwarding = 1
net.ipv6.conf.default.forwarding = 1
net.ipv6.conf.eth0.forwarding = 1
net.ipv6.conf.eth1.forwarding = 1
net.ipv6.conf.eth2.forwarding = 1
net.ipv6.conf.lo.forwarding = 1
net.ipv6.conf.tun0.forwarding = 1
net.ipv6.conf.tun1.forwarding = 1

Ich komme aber leider nicht von den Clients ins Internet. Vom Server
kann ich alle Netze erreichen.

Ein ping6 heise.de von einem Client bringt

Code:

ping6 heise.de
PING heise.de(redirector.heise.de) 56 data bytes
From redirector.heise.de icmp_seq=1 Destination unreachable: Address
unreachable
From redirector.heise.de icmp_seq=2 Destination unreachable: Address
unreachable
From redirector.heise.de icmp_seq=3 Destination unreachable: Address
unreachable

/var/log/firewall

Code:

Jun 15 13:54:11 home kernel: [1202940.940520] SFW2-FWDint-DROP-DEFLT
IN=eth2 OUT=eth0 MAC=00:15:17:e4:ad:6f:00:23:14:46:c3:d0:86:dd
SRC=2a01:01e8:abcd:0002:05f6:d9f9:b4e2:eaf7
DST=2a02:02e0:03fe:1001:0302:0000:0000:0000 LEN=104 TC=0 HOPLIMIT=63
FLOWLBL=0 PROTO=ICMPv6 TYPE=128 CODE=0 ID=6254 SEQ=1
Jun 15 13:54:12 home kernel: [1202941.943153] SFW2-FWDint-DROP-DEFLT
IN=eth2 OUT=eth0 MAC=00:15:17:e4:ad:6f:00:23:14:46:c3:d0:86:dd
SRC=2a01:01e8:abcd:0002:05f6:d9f9:b4e2:eaf7
DST=2a02:02e0:03fe:1001:0302:0000:0000:0000 LEN=104 TC=0 HOPLIMIT=63
FLOWLBL=0 PROTO=ICMPv6 TYPE=128 CODE=0 ID=6254 SEQ=2
Jun 15 13:54:13 home kernel: [1202942.943833] SFW2-FWDint-DROP-DEFLT
IN=eth2 OUT=eth0 MAC=00:15:17:e4:ad:6f:00:23:14:46:c3:d0:86:dd
SRC=2a01:01e8:abcd:0002:05f6:d9f9:b4e2:eaf7
DST=2a02:02e0:03fe:1001:0302:0000:0000:0000 LEN=104 TC=0 HOPLIMIT=63
FLOWLBL=0 PROTO=ICMPv6 TYPE=128 CODE=0 ID=6254 SEQ=3

Die Firewall scheint alle ipv6 Packte der Forward-Chain zu blockieren.

Ich verwende Suse 14.1 und habe in der /etc/sysconfig/SuSEfirewall2 folgende Einstellungen.

Code:

FW_IPv6="yes"
FW_IPv6_REJECT_OUTGOING="no"

Welch Einstellungen muss ich noch vornehmen?

Gruß DAX

Geier0815 · 24 Juni 2014

Als Erstes: Ich verwende iptables direkt, von daher kann ich dir bei suse-firewall nicht helfen. Ansonsten brauchst Du für incoming establish related sowie für dein Netz Alle erlaubt. Forward braucht von deinem Netz new und von allen zu allen established related erlaubt. Es gibt aber gute Anleitungen zur Firewall wenn Du zB bei sixxs mal guckst. Ich nehme an das Du auch über einen Tunnel-broker ipv6 beziehst.

dax · 29 Juni 2014

Hallo Geier0815,
danke für deine Antwort. Ich habe mir die Susefirewall noch einemal angesehen und in der Opensuse Hilfe gesucht.
Die richtigen Einstellungen in der /etc/sysconfig/SuSEfirewall2 sind

Code:

FW_IPv6=""
FW_IPv6_REJECT_OUTGOING="no"

und was ich nicht beachtet hatte

Code:

FW_FORWARD="2a01:1e8:abcd:1::/64,2000::/3 2a01:1e8:abcd:2::/64,2000::/3"

Leider spielt jetzt die Fritzbox nicht mit da sie die Routen zu den zwei Netzen nicht kennt.

Gruß Frank

ipv6 routing firwall

dax

Newbie

Geier0815

Guru

dax

Newbie