+7 495 320-55-52
- Назад
- Телефоны
- +7 495 320-55-52
- Заказать звонок
info@mikrotik.moscow
г. Москва, ул. Бакунинская, 84
Пн-Пт: 09-00 до 18-00
Сб-Вс: выходной

Состояние соединения ответа IPv6: новое, недействительное.

Состояние соединения ответа IPv6: новое, недействительное., RouterOS

mfrey

Guest

20.09.2021 08:09:00

Мой hap ac3 (7.1rc3) получает IPv6 префикс от роутера провайдера через DHCPv6 и раздаёт префикс /64 на несколько интерфейсов. Пересылка IPv6 включена. Сейчас столкнулся с проблемой: фильтрация по состоянию соединения не работает, потому что ответный трафик с WAN (роутера провайдера) всегда имеет состояние new,invalid вместо established. В логах фаервола вижу как исходящий, так и ответный трафик с совпадающими интерфейсами и адресами. Кажется, я упускаю какую-то мелочь, может кто-то знает, что вызывает такое поведение?

pazuwu

Guest

09.01.2022 16:04:00

У меня тоже похожая проблема. Возможно, я что-то делаю не так, я новичок в ipv6. У меня hap ac3 с версией 7.1.1, подключение к провайдеру через PPPoE, на интерфейсе pppoe работает DHCPv6 клиент, который выдает префикс /56. У меня в LAN несколько VLAN, которые нормально работают с ipv4. Я назначил IPv6-адрес из пула, полученного от провайдера, на интерфейс vlan-wifi-ap и настроил DHCPv6 сервер для беспроводных клиентов. Они получают ipv6-адрес, всё работает отлично. Пока я не добавил правило форвардинга в firewall, которое должно блокировать invalid-пакеты (connection-state=invalid), но кажется, что оно считает много трафика недействительным!

Рабочая конфигурация IPv6, пинг с моего WiFi клиента на google работает:

# jan/09/2022 17:27:51 by RouterOS 7.1.1
# software id = TANH-DJAS
#
# model = RBD53iG-5HacD2HnD
# serial number = D96xxxxxxx

/ipv6 dhcp-server
add address-pool=rds-ipv6 interface=vlan-wifi-ap lease-time=1h name=server-wifi

/ipv6 address
add from-pool=rds-ipv6 interface=vlan-wifi-ap

/ipv6 dhcp-client
add add-default-route=yes interface=pppoe-rds pool-name=rds-ipv6 rapid-commit=no request=address,prefix

/ipv6 firewall filter
add action=accept chain=input comment="Accept related/established/untracked packets" connection-state=established,related,untracked
add action=drop chain=input comment="drop invalid packets" connection-state=invalid log=yes log-prefix="(D/invalid)"
add action=accept chain=input comment="allow DHCPv6 client" dst-port=546,547 protocol=udp
add action=accept chain=input
add action=accept chain=forward comment="accept established,related,untracked" connection-state=established,related,untracked
add action=drop chain=forward comment="drop invalid" connection-state=invalid disabled=yes log=yes log-prefix="(D/fw_inval)" <---- ЭТО ПРАВИЛО ВЫЗЫВАЕТ ПРОБЛЕМЫ И СЕЙЧАС ОНО ВЫКЛЮЧЕНО
add action=accept chain=forward

/ipv6 nd
set [ find default=yes ] advertise-dns=no
add interface=vlan-lan
add interface=vlan-mgmt
add interface=vlan-wifi-ap

/ipv6 settings
set accept-redirects=no accept-router-advertisements=yes max-neighbor-entries=8192

Фаервол был сложнее, но я убрал большинство правил, чтобы воспроизвести проблему. И с включенным правилом:

# jan/09/2022 17:26:29 by RouterOS 7.1.1
# software id = TANH-DJAS
#
# model = RBD53iG-5HacD2HnD
# serial number = D96C0C077B23

/ipv6 dhcp-server
add address-pool=rds-ipv6 interface=vlan-wifi-ap lease-time=1h name=server-wifi

/ipv6 address
add from-pool=rds-ipv6 interface=vlan-wifi-ap

/ipv6 dhcp-client
add add-default-route=yes interface=pppoe-rds pool-name=rds-ipv6 rapid-commit=no request=address,prefix

/ipv6 firewall filter
add action=accept chain=input comment="Accept related/established/untracked packets" connection-state=established,related,untracked
add action=drop chain=input comment="drop invalid packets" connection-state=invalid log=yes log-prefix="(D/invalid)"
add action=accept chain=input comment="allow DHCPv6 client" dst-port=546,547 protocol=udp
add action=accept chain=input
add action=accept chain=forward comment="accept established,related,untracked" connection-state=established,related,untracked
add action=drop chain=forward comment="drop invalid" connection-state=invalid log=yes log-prefix="(D/fw_inval)"
add action=accept chain=forward

/ipv6 nd
set [ find default=yes ] advertise-dns=no
add interface=vlan-lan
add interface=vlan-mgmt
add interface=vlan-wifi-ap

/ipv6 settings
set accept-redirects=no accept-router-advertisements=yes max-neighbor-entries=8192

В этом случае происходит вот что:
(D/fw_inval) forward: in:pppoe-rds out:vlan-wifi-ap, src-mac 40:a6:b7:xx:xx:xx, proto ICMP (type 129, code 0), 2001:4860:4860::8844->2a02:2f00:3214:f600:xxxx:xxxx:xxxx:xxxx, len 40

Это баг или я что-то делаю не так?

slackR

Guest

11.01.2022 01:26:00

У меня возникли проблемы с IPv6 и трекингом соединений при использовании подинтерфейсов VLAN. Когда я удалил подинтерфейс и назначил IPv6-адрес напрямую на ether3, трекинг соединений заработал как нужно. Ты используешь какие-нибудь специальные интерфейсы, например VLAN или EoIP?

pazuwu Guest	#4 0 17.01.2022 12:30:00 Да, у меня определено несколько VLAN-интерфейсов поверх моста.

yozik04 Guest	#5 0 01.02.2022 13:03:00 Могу подтвердить, что отслеживание состояния соединения IPv6 перестаёт работать, как только я включаю Simple Queues. При этом не важно, включены ли Mangle правила или нет.

pe1chl Guest	#6 0 01.02.2022 13:16:00 Это известная ошибка в RouterOS версии 7. Пока что её можно решить, понизив версию, например, до 6.49.2.

ErnyTech Guest	#7 0 01.02.2022 15:04:00 Мы уже несколько раз об этом сообщали, но служба поддержки продолжает игнорировать проблему. Не знаю, что нам ещё делать, чтобы техподдержка Mikrotik заинтересовалась этим вопросом.

yozik04 Guest	#8 0 01.02.2022 16:11:00 Я отправил им ещё один отчёт о баге. Посмотрим…

pe1chl Guest	#9 0 01.02.2022 17:09:00 «Никто никогда не просит IPv6»

Bloof Guest	#10 0 06.02.2022 09:36:00 Могу подтвердить, что включённая очередь (fq_codel) на интерфейсе с IPv6-адресом полностью ломает трекер соединений. ROS 7.1.1 (stable), hAP ac^2

Читают тему

Главная Каталог 0 Корзина 0 Избранные Кабинет 0 Сравнение Акции Контакты Услуги Бренды Отзывы Компания Лицензии Документы Реквизиты Поиск Блог Обзоры