UDM Pro, IPv6, Adguard

Tom7320 · February 28, 2025 at 10:30 AM

Moin allerseits!

Ich habe gerade WAN und LAN-seitig IPv6 aktiviert. WAN Seite (mit SLAAC da DHCPv6 nicht funktioniert an meinem Telekom VDSL Anschluss, dynamisches Präfix):

LAN Seite:

Soweit so einfach. Als DNS-Server für IPv6 würde ich gerne einen Adguard Home im LAN verwenden, wie ich es auch für IPv4 gemacht habe. Dafür habe ich (nicht ganz korrekt) wegen des dynamischen Präfixes die link lokale Adresse (LLA) verwendet (fe80::211:32ff:feaf:105f). Das funktioniert jedoch leider nicht, da die Zonen ID zusätzlich angegeben werden müsste (fe80::211:32ff:feaf:105f%ovs_eth0). Letzteres lässt die UDM pro aber nicht zu. Unique lokale Adressen (ULA) lässt die UDM pro aber ohne Tricks auch nicht zu. Jetzt bin ich mit meinem Know-how bedauerlicherweise am Ende. Am liebsten wären mir ULAs für diesen speziellen Anwendungsfall. Oder übersehe ich eine ganz andere Lösung? Klar können v6 Adressen auch über v4 aufgelöst werden. Aber unter v6 darf wiederum kein v4 DNS-Server eingetragen werden. Wie macht ihr das? Ich bin gespannt!

External Content beta.ubiquiti-networks-forum.de

Content embedded from external sources will not be displayed without your consent.

Danke sehr und beste Grüße

Thorsten

DoPe · February 28, 2025 at 1:07 PM

Link Locals funktionieren nur in einem Netzsegment. Das geht also nur wenn der DNS Client im gleichen Netz ist, wie der Adguard.

Da ich bisher immer nur im Main LAN IPv6 aktiviert habe, ging das also mit dem link local problemlos. Das natürlich keine IPv4 Adressen in der Konfiguration des IPv6 Protokolls rein dürfen ist ja logisch. Du bräuchtest eigentlich für IPv6 nur die IPs und das Gateway und für die Namensauflösung würde dann IPv4 herhalten. Aber wenn ich nicht irre darf der DNS nicgt leer bleiben wenn man Auto abhakt ... einen falschen DNS eintragen würde vielleicht klappen, aber die Namensauflösung verzögern.

Prinzipiell stolpert man hier einfach mal wieder etwas über die dynamischen IPv6 Adressen und den beschränkten IPv6 Fähigkeiten von Ubiquiti.

**Naichbindas** · February 28, 2025 at 1:26 PM

DoPe Dann geht IPv6 mit Pihole und Co also immer noch nicht VLAN übergrifend?

DoPe · February 28, 2025 at 1:38 PM

Ich denke nicht, da hat sich ja kaum was getan

External Content beta.ubiquiti-networks-forum.de

Content embedded from external sources will not be displayed without your consent.

also hier in der Firma gehts aber hier ist statisches IPv6 Netz.

**Naichbindas** · February 28, 2025 at 1:45 PM

Ok danke für die Info. Schade das dieses Thema IPv6 immer noch so erschwert wird.

Tom7320 · February 28, 2025 at 1:53 PM

Quote from DoPe

Link Locals funktionieren nur in einem Netzsegment. Das geht also nur wenn der DNS Client im gleichen Netz ist, wie der Adguard.

Ja. Ich weiß. LLAs werden nicht geroutet. Habe gerade noch einmal rumgespielt. Was zu funktionieren scheint, ist Folgendes:

Für IPv4: Adguard IP-Adresse unter Internet -> WANx -> DNS Server eintragen:

Für IPv6: Adguard IP-Adresse unter Networks -> Netzwerkname (z.B. Default) -> IPv6 eintragen:

Scheint zu funktionieren. Ist aber nicht sehr schön, da erstens die DNS-Konfigurationen "verstreut" sind und zweitens für jedes Netzwerk erneut eingetragen werden müssen. Mir wäre lieber, einmal an zentraler Stelle einen Upstream DNS-Server für v4 und v6 einzutragen und fertig. Aber das scheint nicht zu gehen.

Tom7320 · February 28, 2025 at 1:54 PM

Quote from Naichbindas

DoPe Dann geht IPv6 mit Pihole und Co also immer noch nicht VLAN übergrifend?

Nein. Definitiv nicht. Habe ich mehrfach ausprobiert.

Tom7320 · February 28, 2025 at 1:54 PM

Quote from DoPe

Ich denke nicht, da hat sich ja kaum was getan

External Content beta.ubiquiti-networks-forum.de

Content embedded from external sources will not be displayed without your consent.

also hier in der Firma gehts aber hier ist statisches IPv6 Netz.

Ja. Mit statischem Präfix kein Problem.

**Naichbindas** · February 28, 2025 at 2:03 PM

Ich habe statisches IPv6 aber wenn ich in den Netzwerken IPV6 als DNS eintrage kommen viele Endgeräte ncith mehr Online oder dauert alles sehr lange als geht sehr langsam ....

Tomcat · February 28, 2025 at 2:07 PM

Quote from Naichbindas

Dann geht IPv6 mit Pihole und Co also immer noch nicht VLAN übergrifend

Jein.

Ich nutze AdGuard aus allen VLAN mit IPv6 aber ich habe einen riesen Vorteil:

Bei mit läuft der AdGuard auf der Firewall direkt, somit brauche ich keine IPv6-Adressen dafür fest vergeben, der AdGuard hat einfach die Adresse des jeweiligen Gateway im VLAN - das macht es gewaltig einfacher.

Ansonsten kommst du nicht drum herum, dem PiHole/Adguard ne feste IPv6 Adresse in einem VLAN zu geben mit dem ganzen Zauber, der dann damit zusammen hängt - du musst IPv6-Adressverwaltung machen, die Firewall-Regeln entsprechend erweitern/anpassen usw.

Solange es die Provider bei uns nicht schaffen, dieses unsägliche IPv6-Prefixdelegation abzuschalten und jedem Kunden einfach eine /56 oder was auch immer Netz fest geben, wird das nervig bleiben.

Quote from Tom7320

Scheint zu funktionieren. Ist aber nicht sehr schön, da erstens die DNS-Konfigurationen "verstreut" sind und zweitens für jedes Netzwerk erneut eingetragen werden müssen.

Kommt drauf an, ich hab z.b. einzelne VLAN, die nichts übern AdGuard gehen, sondern DNS-Server im Internet bekommen, z.b. Gäste und Büro wo mein Firmennotebook dran hängt.

Tom7320 · February 28, 2025 at 2:08 PM

Quote from Naichbindas

Ich habe statisches IPv6 aber wenn ich in den Netzwerken IPV6 als DNS eintrage kommen viele Endgeräte ncith mehr Online oder dauert alles sehr lange als geht sehr langsam ....

Ich kann es leider gerade nicht testen, bin mir aber relativ sicher, dass ich das bei einem Kunden mit statischer IP schon einmal eingerichtet hatte und als upstream DNS die global scope IPv6 des Adguard eingetragen hatte. Kann's aber - wie gesagt - gerade leider nicht esten...

**Naichbindas** · February 28, 2025 at 2:16 PM

Tomcat Danke und ja die Regeln für IPv6 habe ich drinn, das ist nicht das Problem.

Es ist ja so einfach dan ZBF das zu regeln.

Da kann ich ja dann beides eintragen, IPv4 und IPv6,

Das dann so aktivieren, das sollte reichen.

Tom7320 Wie gesagt habe ich hier ja versucht aber es wollte nicht. IPv4 funktioniert auf diese Weise wie imer super.

Tom7320 · February 28, 2025 at 2:25 PM

Quote from Tomcat

Jein.
Ich nutze AdGuard aus allen VLAN mit IPv6 aber ich habe einen riesen Vorteil:
Bei mit läuft der AdGuard auf der Firewall direkt, somit brauche ich keine IPv6-Adressen dafür fest vergeben, der AdGuard hat einfach die Adresse des jeweiligen Gateway im VLAN - das macht es gewaltig einfacher.
Ansonsten kommst du nicht drum herum, dem PiHole/Adguard ne feste IPv6 Adresse in einem VLAN zu geben mit dem ganzen Zauber, der dann damit zusammen hängt - du musst IPv6-Adressverwaltung machen, die Firewall-Regeln entsprechend erweitern/anpassen usw.
Solange es die Provider bei uns nicht schaffen, dieses unsägliche IPv6-Prefixdelegation abzuschalten und jedem Kunden einfach eine /56 oder was auch immer Netz fest geben, wird das nervig bleiben.
Kommt drauf an, ich hab z.b. einzelne VLAN, die nichts übern AdGuard gehen, sondern DNS-Server im Internet bekommen, z.b. Gäste und Büro wo mein Firmennotebook dran hängt.

Display More

Adguard direkt auf der UDM Pro wäre auch mein Traum. Und Tailscale, wenn man schon dabei ist. Da gehört es IMHO eigentlich auch hin. Ist aber nicht offiziell supportet soweit ich weiß...

External Content beta.ubiquiti-networks-forum.de

Content embedded from external sources will not be displayed without your consent.

Ich finde, für so einen Anwendungsfall hat ULA definitiv seine Berechtigung. Ja, ich weiß, man kann über ULA streiten. Aber dafür wäre es hilfreich gewesen. ULA kann jede Fritzbox....

Dynamische Präfixe sind die Pest - da gebe ich Dir recht. Und sie widersprechen der Grundidee von IPv6.

Tomcat · February 28, 2025 at 3:47 PM

Quote from Tom7320

Adguard direkt auf der UDM Pro wäre auch mein Traum. Und Tailscale, wenn man schon dabei ist. Da gehört es IMHO eigentlich auch hin. Ist aber nicht offiziell supportet soweit ich weiß...

Wird auch nicht funktionieren, weil kein "normales" Linuix drauf läuft.

Ich nutze ne OPNSense und da ist AdGuard ein Community-Project und als OS läuft ja eben FreeDBS unter OPNSense.

**swag** · February 28, 2025 at 6:20 PM

Wie wäre es in dem Netzwerk eine statisches prefix zu verwenden fc… fd…. die können dann aus anderen ipv6 subnetzen erreicht werden. Dann kann dem ad guard eine statische ipv6 Adresse zugewiesen werden.

Participate now!