(Megoldva) Vodafone IPv6

de előtte még be kell lőnöm az IPv6 tűzfalat, hogy ne legyen nyitott a hálózat.

Ez a része viszonylag egyszerű. Küldöm, ahogy én használom - persze nyilván lehet még finomítani. 

    ipv6-name WANv6_IN {
        default-action drop
        description "WAN inbound traffic forwarded to LAN"
        enable-default-log
        rule 10 {
            action accept
            description "Allow established/related sessions"
            state {
                established enable
                related enable
            }
        }
        rule 20 {
            action drop
            description "Drop invalid state"
            state {
                invalid enable
            }
        }
    }

    ipv6-name WANv6_LOCAL {
        default-action drop
        description "WAN inbound traffic to the router"
        enable-default-log
        rule 10 {
            action accept
            description "Allow established/related sessions"
            state {
                established enable
                related enable
            }
        }
        rule 20 {
            action drop
            description "Drop invalid state"
            state {
                invalid enable
            }
        }
        rule 30 {
            action accept
            description "Allow IPv6 icmp"
            protocol ipv6-icmp
        }
        rule 40 {
            action accept
            description "allow dhcpv6"
            destination {
                port 546
            }
            protocol udp
            source {
                port 547
            }
        }
        rule 50 {
            action accept
            description WireGuard
            destination {
                port 51800-51899
            }
            log disable
            protocol udp
            source {
            }
        }
    }

Nálam csak SLAAC van:

    ethernet eth9 {
        address dhcp
        description wan
        dhcpv6-pd {
            pd 0 {
                interface eth8 {
                    host-address ::1
                    prefix-id :1
                    service slaac
                }
                interface eth11 {
                    host-address ::1
                    prefix-id :3
                    service slaac
                }
                interface switch0 {
                    host-address ::1
                    prefix-id :2
                    service slaac
                }
                prefix-length /56
            }
            rapid-commit enable
        }
        duplex auto
        firewall {
            in {
                ipv6-name WANv6_IN
                name WAN_IN
            }
            local {
                ipv6-name WANv6_LOCAL
                name WAN_LOCAL
            }
        }

Az automatikus címadás működött rendben (SLAAC), de szeretném elérni, hogy a hostok IPv6 címei bekerüljenek a DNS zónámba.

Én ezt abszolút fapad módon oldom meg, a routeren fut egy cron script, ami prefix változás esetén (nálam Telekom van, nagyon ritkán változik) megupdateli a DNS-t, a cloud tűzfalakat stb.

#!/bin/bash

LAST_FILE=/home/ubnt/ipv6/ipv6_last
LAST=`cat $LAST_FILE`

SUBNET56_IPV6=`ip addr show dev eth8 | grep inet6 | awk {'print $2'} | awk -F'::' {'print $1'} | awk '{print substr($1, 1, length($1)-2)}'`

if [[ "$LAST" != "$SUBNET56_IPV6" ]]; then
    echo $SUBNET56_IPV6 > $LAST_FILE
    ...
fi

Akár akarjuk akár nem, a jövő az IPv6 user végpontok irányába mutat. Így a végponti peer-to-peer kapcsolatok problémája megoldódik.
 

Ha felhívod a Vodafone-t (1270) tudod kérni vissza a natív nyilvános külső IP-t ami nem natolt, viszont akkor nem lesz IPV6!

Telekomnál ilyen gondok nincsenek szerencsére. Van publikus IPv4 címem és egy /56-os prefixem is DHCPv6-al amit SLAAC-al szépen tovább tudok adni a helyi hálózaton. Mindeközben telefon is van. IP TV mondjuk nincs, mert az bridge módban nem működik de hát istenem, a fenének se kell már manapság lineáris TV :)

Említetted viszont az IPv6 címek DNS-be rakását. Na az engem is izgat. Azon gondolkoztam még, hogy esetleg Cloudaflare-el meg lehetne oldani, de azt még nem tudom, milyen eventekre tudnék felülni Mikrotikben ezt megvalósítandó.

A hazai szolgáltatók IPv4 / IPv6 helyzete

Vodafone, ha már ez a téma
Az IPv6-ot kedvük szerint kapcsolják be, de nem dual stack, hanem egy DsLite nevű implementációval, ami az IPv4 csomagokat IPv6-ba csomagolva továbbítja és valahol valami Vodafone eszköz kibontja, ott lesz belőle v4. Emiatt a CGNAT kötelező eleme. Bridged mód, IPv4 port forward ilyenkor nincs.
A prefix továbbosztása egy jó módszer, viszont az IPv4 továbbra is NAT-olt lesz, és a v6-os DSLITE tunnel miatt a v4-only szolgáltatásokkal lehet gond a MTU változtatása miatt. Ezen felül, ahogy itt is látszik, a prefix(ek) továbbadása sem működik úgy, ahogyan annak kéne.
Megoldás: Vodafone kábelesen vissza kell kérni az IPv4-et.
Ugyanitt fontos, ez a PH fórumon jött elő. Ha valakinek a bridged mód hiányából tűnik fel az IPv6, ne kérjen bridge-t, mert elronthatják! Külön kérje, hogy rakják vissza IPv4-re és ha az megy, akkor mehet a bridged mód bekapcsolása. IPv6-tal a bridge-t a rendszerük engedi beállítani az ő oldalukon, de a vége offline állapotú szerelővárás lehet.

DIGI: Dual Stack, PPPoE esetén, IPv4-en publikus vagy NAT-olt cím, v6-on DHCP-vel egy /64 prefix + cím. Minden PPPoE csatlakozásnál változik, a v6 még fixip mellett is.

Telekom:
- Kábelnet, Docsis esetén IPv4-en nincs NAT és egy cím, v6-on pedig adnak egy /56-ot, ezt valamelyik eszköz továbbadja router módban /64-enként, valamelyik nem, mai napig küzdünk vele egy ismerősnél
- PPPoE-n azaz optikán és DSL-en session-önként (jellemzően két darab lehet aktív egy felhasználóval) adnak egy IPv4-et ez lehet NAT-olt vagy publikus és IPv6-on egy /56-os prefix-et, ebből meg lehet címet, /64-es prefixeket venni, viszont a Telekom IPv6-on sima címet nem ad, MikroTik-en ez megszivatott:D