UDM-SE IPv6 „made easy“: Dual-WAN, RA/SLAAC, VLANs und Firewall sauber einrichten

Diese Webseite finanziert sich ausschließlich durch freiwillige Spenden. Dank der Unterstützung unserer Nutzer können wir die Inhalte werbefrei und unabhängig anbieten. Jetzt Unterstützen
  • In diesem Wiki-Beitrag wird beschrieben, wie IPv6 auf einer UDM-SE sauber über mehrere VLANs eingerichtet wurde. Das Setup nutzt Dual-WAN, eigene /64-Präfixe pro VLAN, Source-Routing je WAN-Präfix und Router Advertisements per dnsmasq.

    Der Beitrag zeigt Schritt für Schritt, wie die IPv6-Gateway-Adressen auf den Bridges gesetzt werden, wie RA/SLAAC für Clients funktioniert, wie DNS per RDNSS verteilt wird und wie die Konfiguration per systemd dauerhaft gemacht wird.

    Ein wichtiger Teil ist die IPv6-Firewall: Bei der Prüfung fiel auf, dass UniFi-Regeln mit dem Namen „Accept #ICMP IPv6“ intern als „IPv6 All Allow“ angelegt waren. Der Beitrag zeigt, wie man diese Diskrepanz erkennt, die falschen Policies deaktiviert und WAN zu intern zusätzlich gegen neue eingehende IPv6-Verbindungen absichert.

    1 UDM-SE IPv6 mit RA/SLAAC und VLANs via CLI "made easy"

    Was wollen wir ?

    IPv6 auf einer UDM-SE sauber über mehrere VLANs zum Laufen bringen.

    Also nicht nur "WAN hat IPv6", sondern:

    • WAN1 und WAN2 bekommen IPv6
    • jedes VLAN bekommt sein eigenes /64
    • Clients bekommen ihre IPv6 per RA/SLAAC
    • DNS wird per RDNSS mitgegeben
    • Source-Routing sorgt dafür, dass Prefix A über WAN1 und Prefix B über WAN2 rausgeht
    • WAN->LAN bleibt bei IPv6 dicht

    Klingt erstmal nach Hexenküche, ist aber am Ende halb so wild, wenn man es sauber auseinander nimmt. :)

    Warum wollen wir das? (...eigentlich eine sinnfreie Frage... :P )

    Weil IPv6 langsam aber sicher dazugehört.

    Und weil es schöner ist, wenn jedes Netz ein eigenes /64 hat, statt irgendwo halbgar IPv6 auf der UDM eingeschaltet zu haben und sich dann zu wundern, warum Clients nichts bekommen.

    Wichtig dabei:

    IPv6 ist nicht IPv4 mit längeren Zahlen.

    Bei IPv6 hat ein Client oft direkt eine öffentliche Adresse. NAT versteckt da nicht mehr automatisch alles. Die Firewall ist also nicht "nice to have", sondern Pflicht.

    1.1 Ausgangslage

    Setup hier:

    • UDM-SE
    • WAN1 auf eth9
    • WAN2 auf eth10
    • mehrere VLANs / Bridges
    • IPv6 Prefixe vom Provider / vorgeschaltetem Router
    • RA über UniFi lief nicht so, wie ich es gebraucht habe

    Darum wird RA/SLAAC hier per eigener dnsmasq-Instanz gemacht.

    Hinweis: Die IPv6-Adressen in diesem Beitrag sind anonymisiert und verwenden das Dokumentationsnetz 2001:db8::/32. Bitte durch eure echten Prefixe ersetzen.

    1.2 Beispiel Prefixe

    In diesem Beispiel gibt es zwei Blöcke:

    Code
    WAN1 Prefixblock: 2001:db8:1111:7040::/61
WAN2 Prefixblock: 2001:db8:2222:7ba0::/61

    Daraus werden dann einzelne /64-Netze für die VLANs genommen.

    NetzBridgeIPv6 PrefixGateway
    MGMTbr02001:db8:1111:7041::/642001:db8:1111:7041::1
    Protectbr22001:db8:1111:7042::/642001:db8:1111:7042::1
    IoTbr32001:db8:1111:7043::/642001:db8:1111:7043::1
    WiFibr42001:db8:2222:7ba1::/642001:db8:2222:7ba1::1
    Testbr52001:db8:1111:7046::/642001:db8:1111:7046::1
    Shellybr62001:db8:1111:7044::/642001:db8:1111:7044::1
    VPN-Netzbr72001:db8:1111:7047::/642001:db8:1111:7047::1
    HomeNetbr82001:db8:2222:7ba2::/642001:db8:2222:7ba2::1
    VOIPbr92001:db8:1111:7045::/642001:db8:1111:7045::1
    VMwarebr102001:db8:2222:7ba5::/642001:db8:2222:7ba5::1
    Guestbr122001:db8:2222:7ba3::/642001:db8:2222:7ba3::1
    Kidsbr132001:db8:2222:7ba4::/642001:db8:2222:7ba4::1
    WAN 03br502001:db8:2222:7ba7::/642001:db8:2222:7ba7::1
    WAN 02br992001:db8:2222:7ba6::/642001:db8:2222:7ba6::1

    1.3 Vorher Backup machen

    Bevor man in der UDM herumstochert:

    Code
    ssh root@192.168.1.1

    Dann Backups ziehen:

    Code
    TS="$(date +%F-%H%M%S)"

mongo --quiet --port 27117 ace --eval 'db.networkconf.find({}).forEach(printjson)' > /data/networkconf-backup-$TS.json

mongo --quiet --port 27117 ace --eval 'db.firewall_policy.find({}).forEach(printjson)' > /data/firewall-policy-backup-$TS.json

    Ja, das ist langweilig. Nein, das sollte man nicht überspringen.

    1.4 1) WAN-Interfaces und Gateways prüfen

    Zuerst schauen, welche Interfaces die WANs sind:

    Code
    ip addr show
ip -6 addr show
ip route
ip -6 route

    Bei mir war es:

    Code
    eth9  = WAN1
eth10 = WAN2

    Bei IPv6 ist das Gateway oft eine Link-Local-Adresse:

    Code
    WAN1 Gateway: fe80::1111:2222:3333:4444
WAN2 Gateway: fe80::aaaa:bbbb:cccc:dddd

    Diese Adressen müsst ihr natürlich durch eure echten Gateways ersetzen.

    1.5 2) Source-Routing für Dual-WAN

    Damit Traffic aus dem WAN1-Prefix auch über WAN1 rausgeht und WAN2-Prefixe über WAN2, braucht es eigene Routing-Tabellen.

    Kontrolle:

    Code
    ip -6 rule show
ip -6 route show table 201.eth9
ip -6 route show table 202.eth10

    So ungefähr soll es aussehen:

    Code
    101: from 2001:db8:1111:7040::/61 lookup 201.eth9
102: from 2001:db8:2222:7ba0::/61 lookup 202.eth10

    1.6 3) IPv6-Adressen auf die Bridges setzen

    Jetzt bekommen die VLAN-Bridges ihre Gateway-Adressen.

    Prüfen:

    Code
    ip -6 -o addr show scope global | grep "2001:db8" | sort

    Wichtig ist, dass pro Bridge die ::1/64-Adresse sauber steht.

    1.7 4) Persistenz per systemd

    Da die UDM bei Provisioning gern Dinge überschreibt, kommt das in systemd.

    Status:

    Code
    systemctl is-active ipv6-lan-prefix-apply.service ipv6-lan-prefix-apply.timer ipv6-dualwan-source-rules.service

    Sollte ergeben:

    Code
    active
active
active

    1.8 5) RA/SLAAC mit dnsmasq

    Jetzt kommt der Teil, damit Clients automatisch IPv6 bekommen.

    RA-only Config:

    Service:

    Log prüfen:

    Code
    journalctl -u dnsmasq-ipv6-ra.service --no-pager | tail -50

    Da sollte dann sowas kommen:

    Code
    router advertisement on br0
router advertisement on br2
router advertisement on br3
router advertisement on br4
IPv6 router advertisement enabled

    1.9 6) RA auf dem Interface prüfen

    Zum Beispiel auf br0:

    Code
    tcpdump -ni br0 -vv "icmp6 and ip6[40] == 134"

    Beispiel:

    Code
    router advertisement
prefix info option: 2001:db8:1111:7041::/64
Flags [onlink, auto]
rdnss option:
  2606:4700:4700::1111
  2001:4860:4860::8888

    Wenn das auftaucht, verteilt die UDM bzw. dnsmasq das Prefix per RA.

    1.10 7) Client testen

    Auf einem Linux-Client:

    Code
    ip -6 addr show
ip -6 route show default
ping -6 -c 3 2606:4700:4700::1111

    Erwartung:

    Code
    inet6 2001:db8:1111:7041:....../64 scope global
default via fe80::.... dev enp2s0 proto ra
3 packets transmitted, 3 received, 0% packet loss

    Nicht wundern: UniFi zeigt SLAAC-Adressen nicht immer sauber in der Client-Ansicht. Besser direkt auf der UDM schauen:

    Code
    ip -6 neigh show dev br0
ip -6 neigh show dev br4

    1.11 Gateway-Adressen testen

    Wenn überall OK steht, passt das Routing.

    1.12 9) Firewall prüfen

    Jetzt der Teil, der bei IPv6 wirklich wichtig ist.

    Prüfen:

    Code
    ip6tables -S | grep -E "UBIOS_WAN|WAN_LAN|WAN_GUEST|WAN_VPN|ACCEPT|DROP" | head -200

    Bei mir gab es eine unschöne Sache in den UniFi-Firewall-Policies.

    Regeln hießen sinngemäß:

    Code
    Accept #ICMP IPv6

    Intern waren sie aber:

    Code
    ip_version: IPV6
protocol: all
action: ALLOW
source: External
destination: Internal / Hotspot / External / Vpn

    Also eben nicht nur ICMPv6, sondern alles per IPv6. Schöner Name, unschöner Inhalt.

    Prüfen:

    Code
    mongo --quiet --port 27117 ace --eval '
db.firewall_policy.find(
  { name:/ICMP IPv6/i },
  { name:1, enabled:1, action:1, ip_version:1, protocol:1, icmp_v6_typename:1, source:1, destination:1 }
).forEach(printjson)
'

    Wenn dort protocol: "all" steht, dann ist das keine reine ICMPv6-Regel.

    1.13 10) Falsche Policies deaktivieren

    Ich habe diese falschen Policies deaktiviert.

    Bitte vorher prüfen, ob das bei euch wirklich dieselben Regeln sind.

    Code
    mongo --quiet --port 27117 ace --eval '
db.firewall_policy.updateMany(
  { name:"Accept #ICMP IPv6 " },
  { $set:{ enabled:false } }
)
'

    Kontrolle:

    Code
    mongo --quiet --port 27117 ace --eval '
db.firewall_policy.find(
  { name:"Accept #ICMP IPv6 " },
  { name:1, enabled:1, ip_version:1, protocol:1, source:1, destination:1 }
).forEach(printjson)
'

    Erwartung:

    Code
    enabled: false

    1.14 11) Runtime-Schutz für WAN->intern

    Zusätzlich kann man vorne in die WAN-Zielketten einen Drop für neue und invalide Pakete setzen:

    Code
    ip6tables -I UBIOS_WAN_LAN_USER   1 -m conntrack --ctstate NEW,INVALID -j DROP
ip6tables -I UBIOS_WAN_GUEST_USER 1 -m conntrack --ctstate NEW,INVALID -j DROP
ip6tables -I UBIOS_WAN_DMZ_USER   1 -m conntrack --ctstate NEW,INVALID -j DROP
ip6tables -I UBIOS_WAN_VPN_USER   1 -m conntrack --ctstate NEW,INVALID -j DROP

    Damit wird neuer eingehender Traffic aus dem WAN zu internen Zonen blockiert. Ausgehender Traffic und Rückverkehr bleiben möglich.

    Damit das nach Provisioning wieder gesetzt wird:

    Service und Timer:

    Prüfen:

    Code
    for C in UBIOS_WAN_LAN_USER UBIOS_WAN_GUEST_USER UBIOS_WAN_DMZ_USER UBIOS_WAN_VPN_USER; do
  echo "--- $C ---"
  ip6tables -S "$C" | head -6
done

    Erwartung:

    Code
    -A UBIOS_WAN_LAN_USER -m conntrack --ctstate INVALID,NEW -m comment --comment BLOCK_WAN6_NEW_INVALID_TO_INTERNAL -j DROP

    1.15 12) Finaler Check

    Wenn alles passt, sieht es grob so aus:

    Code
    Services:              active
Bridge-Adressen:       vorhanden
Source-Routing:        vorhanden
RA/SLAAC:              läuft
Client IPv6:           funktioniert
WAN->intern NEW:       DROP

    1.16 13) Reboot-Test

    Zum Schluss einmal rebooten und danach prüfen, ob alles wiederkommt:

    Code
    reboot

    Nach dem Neustart:

    Code
    systemctl is-active ipv6-lan-prefix-apply.service ipv6-lan-prefix-apply.timer ipv6-dualwan-source-rules.service dnsmasq-ipv6-ra.service ipv6-wan-in-block.service ipv6-wan-in-block.timer

ip -6 -o addr show scope global | grep "2001:db8"

ip -6 rule show | grep -E "101|102"

for C in UBIOS_WAN_LAN_USER UBIOS_WAN_GUEST_USER UBIOS_WAN_DMZ_USER UBIOS_WAN_VPN_USER; do
  echo "--- $C ---"
  ip6tables -S "$C" | head -6
done

    Wenn danach alles wieder da ist: passt.

    1.17 Rollback

    Falls man zurück will:

    Code
    systemctl disable --now ipv6-lan-prefix-apply.timer ipv6-wan-in-block.timer
systemctl disable --now ipv6-lan-prefix-apply.service ipv6-wan-in-block.service dnsmasq-ipv6-ra.service

mv /data/ipv6-lan-prefix-apply.sh /data/ipv6-lan-prefix-apply.sh.disabled
mv /data/ipv6-wan-in-block.sh /data/ipv6-wan-in-block.sh.disabled

    Danach UniFi neu provisionieren lassen und die Backups prüfen.

    1.18 Anmerkung

    Das ist nichts für "mal eben nebenbei". Direkt auf der UDM per CLI und Mongo zu arbeiten ist praktisch, aber man sollte schon wissen, was man da anfasst.

    Bei mir läuft damit:

    • IPv6 auf allen VLANs
    • RA/SLAAC über dnsmasq
    • DNS-Verteilung per RDNSS
    • Dual-WAN Source-Routing
    • Firewall-Schutz gegen WAN->LAN bei IPv6

    FERTIG :!: :thumbup:

Share