+7 495 320-55-52
- Назад
- Телефоны
- +7 495 320-55-52
- Заказать звонок
info@mikrotik.moscow
г. Москва, ул. Бакунинская, 84
Пн-Пт: 09-00 до 18-00
Сб-Вс: выходной

DDNS не регистрирует AAAA-запись

DDNS не регистрирует AAAA-запись, RouterOS

pkoci

Guest

17.07.2024 21:15:00

Привет! У меня сейчас проблема с роутером hAP ax3 на прошивке версии 7.15.2. Дело в сервисе DDNS (IP/Cloud) — он не регистрирует AAAA-запись (IPv6-адрес) моего роутера. При этом A-запись для IPv4 регистрируется без проблем. Раньше таких сложностей с IPv6 и DDNS от Mikrotik не было. Я не менял настройки IPv6 на роутере, насколько знаю. К тому же IPv6 в моей сети работает нормально. Если нужно, могу предоставить конфигурацию для более детального разбора. Кто-то может помочь или подсказать, как это исправить? Заранее спасибо!

pkoci Guest	#2 0 14.08.2024 12:47:00 :put [:resolve type=ipv6 ifconfig.me] Возвращает 2600:1901:0:b2bd:: Но и пинг, и трассировка до DNS Google не проходят.

pkoci Guest	#3 0 13.08.2024 21:42:00 Кто-нибудь?

CGGXANNX Guest	#4 0 14.08.2024 03:48:00 Когда вы выполняете эту команду в терминале RouterOS /tool/fetch url="https://ifconfig.me/ip" address=[:resolve type=ipv6 ifconfig.me] output=user, выводится ли ожидаемый IPv6-адрес вашего роутера?

pkoci

Guest

14.08.2024 11:52:00

Ошибка: превышено время ожидания подключения. Как мне вообще добавить IPv6-адрес самому роутеру? Я вижу один в разделе IPv6/dhcp client/status и на интерфейсе wan (ether1) в разделе IPv6/addresses. Позже поделюсь своей конфигурацией IPv6.

CGGXANNX

Guest

14.08.2024 12:14:00

Если сейчас запустить :put [:resolve type=ipv6 ifconfig.me] и это не сработает, значит у вас проблема с разрешением DNS на роутере. Если же с этим всё в порядке, попробуйте пропинговать и сделать трассировку до IPv6-адреса dns.google: :ping 2001:4860:4860::8888 count=5
/tool/traceroute 2001:4860:4860::8888 count=5. Работает?

pkoci

Guest

14.08.2024 20:33:00

Моя конфигурация IPv6 # 2024-08-14 18:27:41, RouterOS 7.16rc2
# software id = 60E1-T3M4
# model = C53UiG+5HPaxD2HPaxD
# serial number =

/ipv6 dhcp-server
add address-pool=test_ipv6 interface=bridge name=server1

/ipv6 address
add address=::1 from-pool=test_ipv6 interface=bridge
add address=::1 from-pool=test_ipv6 interface=wireguard1
add address=::/128 advertise=no disabled=yes from-pool=test_ipv6 interface=ether1

/ipv6 dhcp-client
add add-default-route=yes interface=ether1 pool-name=test_ipv6 request=address,prefix use-peer-dns=no

/ipv6 firewall address-list
add address=::/128 comment="defconf: unspecified address" list=bad_ipv6
add address=::1/128 comment="defconf: lo" list=bad_ipv6
add address=fec0::/10 comment="defconf: site-local" list=bad_ipv6
add address=::ffff:0.0.0.0/96 comment="defconf: ipv4-mapped" list=bad_ipv6
add address=::/96 comment="defconf: ipv4 compat" list=bad_ipv6
add address=100::/64 comment="defconf: discard only " list=bad_ipv6
add address=2001:db8::/32 comment="defconf: documentation" list=bad_ipv6
add address=2001:10::/28 comment="defconf: ORCHID" list=bad_ipv6
add address=3ffe::/16 comment="defconf: 6bone" list=bad_ipv6
add address=2400:cb00::/32 list=cloudflare-ips-v6
add address=2606:4700::/32 list=cloudflare-ips-v6
add address=2803:f800::/32 list=cloudflare-ips-v6
add address=2405:b500::/32 list=cloudflare-ips-v6
add address=2405:8100::/32 list=cloudflare-ips-v6
add address=2a06:98c0::/29 list=cloudflare-ips-v6
add address=2c0f:f248::/32 list=cloudflare-ips-v6

/ipv6 firewall filter
add action=accept chain=input comment="defconf: accept established,related,untracked" connection-state=established,related,untracked
add action=accept chain=input comment="allow WireGuard" dst-port=13231 protocol=udp
add action=drop chain=input comment="defconf: drop invalid" connection-state=invalid
add action=accept chain=input comment="defconf: accept ICMPv6" protocol=icmpv6
add action=accept chain=input comment="defconf: accept UDP traceroute" dst-port=33434-33534 protocol=udp
add action=accept chain=input comment="defconf: accept DHCPv6-Client prefix delegation." dst-port=546 protocol=udp src-address=fe80::/10
add action=accept chain=input comment="defconf: accept IKE" dst-port=500,4500 protocol=udp
add action=accept chain=input comment="defconf: accept ipsec AH" protocol=ipsec-ah
add action=accept chain=input comment="defconf: accept ipsec ESP" protocol=ipsec-esp
add action=accept chain=input comment="defconf: accept all that matches ipsec policy" ipsec-policy=in,ipsec
add action=drop chain=input comment="defconf: drop everything else not coming from LAN" in-interface-list=!LAN

add action=accept chain=forward comment=NGINX dst-address=2aXX:XXXX:XXXX:400:42:c0ff:fea8:5802/128 dst-port=443 protocol=tcp src-address-list=cloudflare-ips-v6
add action=accept chain=forward comment=Torrent dst-address=2aXX:XXXX:XXXX:400:2d0:b4ff:fe02:2cf2/128 dst-port=6881 protocol=tcp
add action=accept chain=forward comment="Torrent UDP" dst-address=2aXX:XXXX:XXXX:400:2d0:b4ff:fe02:2cf2/128 dst-port=6881 protocol=udp
add action=accept chain=forward comment="defconf: accept established,related,untracked" connection-state=established,related,untracked
add action=drop chain=forward comment="defconf: drop invalid" connection-state=invalid
add action=drop chain=forward comment="defconf: drop packets with bad src ipv6" src-address-list=bad_ipv6
add action=drop chain=forward comment="defconf: drop packets with bad dst ipv6" dst-address-list=bad_ipv6
add action=drop chain=forward comment="defconf: rfc4890 drop hop-limit=1" hop-limit=equal:1 protocol=icmpv6
add action=accept chain=forward comment="defconf: accept ICMPv6" protocol=icmpv6
add action=accept chain=forward comment="defconf: accept HIP" protocol=139
add action=accept chain=forward comment="defconf: accept IKE" dst-port=500,4500 protocol=udp
add action=accept chain=forward comment="defconf: accept ipsec AH" protocol=ipsec-ah
add action=accept chain=forward comment="defconf: accept ipsec ESP" protocol=ipsec-esp
add action=accept chain=forward comment="defconf: accept all that matches ipsec policy" ipsec-policy=in,ipsec
add action=drop chain=forward comment="defconf: drop everything else not coming from LAN" in-interface-list=!LAN

/ipv6 nd
set [ find default=yes ] hop-limit=64
add dns="2aXX:XXXX:XXXX:400:2d0c:e12:b65d:2cd5,2aXX:XXXX:XXXX:400:42:c0ff:fea8:58fe" hop-limit=64 interface=bridge managed-address-configuration=yes other-configuration=yes

/ipv6 nd prefix
add autonomous=no interface=bridge

/ipv6 settings
set accept-router-advertisements=yes

CGGXANNX

Guest

15.08.2024 08:20:00

На этом форуме многие советуют не включать «add-default-route» в DHCPv6 клиенте, потому что это уже давно считается хаком MikroTik. В DHCPv6 нет информации о маршрутах. Пример таких постов: http://forum.mikrotik.com/t/ipv6-configuration-under-router-os-7/170929/1.

Так что лучше выключить эту опцию и полагаться на параметр accept-router-advertisements=yes в настройках IPv6 (у вас он уже включён). Иначе в таблице маршрутов может появиться ложный маршрут по умолчанию, если оставить «add-default-route=yes».

Что выводит команда /ipv6 route print в списке маршрутов по умолчанию (dst-address ::/0) при текущих настройках?

pkoci

Guest

15.08.2024 17:01:00

Опция добавления маршрута по умолчанию отключена. Смотрите таблицу маршрутов. Флаги: D – динамический; A – активный; c – соединение; d – DHCP; g – SLAAC
Колонки: DST-ADDRESS, GATEWAY, DISTANCE
DST-ADDRESS GATEWAY DISTANCE
DAg ::/0 fe80::a6e1:1aff:fe5a:50b4%ether1 1
DAc ::1/128 lo 0
DAc 2aXX:XXXX:XXXX::400/128 ether1 0
DAd 2aXX:XXXX:XXXX:400::/56 1
DAc 2aXX:XXXX:XXXX:400::/64 bridge 0
DAc 2aXX:XXXX:XXXX:401::/64 wireguard1 0
DAd 2aXX:XXXX:XXXX:402::/64 fe80::835:a4f0:cf8b:da0e%bridge 1
DAc fe80::%ether1/64 ether1 0
DAc fe80::%bridge/64 bridge 0
DAc fe80::%wireguard1/64 wireguard1 0

Если вручную добавить этот адрес 2aXX:XXXX:XXXX:400::1/128 на WAN интерфейс (ether1), то и пинг, и облачный DDNS начинают работать.

Kentzo

Guest

#10

15.08.2024 18:37:00

Насколько я знаю, назначать адрес интерфейсу WAN не обязательно: RouterOS должен уметь использовать глобальный IPv6-адрес, назначенный любому из его LAN-интерфейсов. Я сразу не вижу проблем с фаерволом. Однако было бы интересно включить логирование для всех правил drop и посмотреть, обрабатывает ли какое-нибудь из них команду /tool/fetch url="https://ifconfig.me/ip" address=[:resolve type=ipv6 ifconfig.me] output=user, которая у тебя не срабатывает.

CGGXANNX

Guest

#11

16.08.2024 00:15:00

Как написал @Kentzo, наличие GUA-адреса на ether1 не обязательно. Можешь выполнить /ipv6 address print и проверить, какие глобальные адреса сейчас назначены на ether1? В настройках DHCPv6 клиента ты запрашиваешь и адрес, и префикс. Обычно DHCPv6 присваивает IPv6-адрес от провайдера на ether1. Может быть, этот адрес неправильно маршрутизируется у твоего провайдера? Без дополнительной настройки роутер будет использовать именно этот адрес (на ether1) для выхода в интернет, и вот почему это не работало. Когда ты вручную назначаешь 2aXX:XXXX:XXXX:400::1/128 на ether1, у него теперь два адреса, роутер выбирает последний, и префикс у провайдера маршрутизируется правильно, поэтому всё начинает работать (и для устройств в сети LAN тоже, потому что у них адреса из выделенного диапазона). Решением может быть изменить настройки DHCPv6 клиента и запрашивать только префикс, без адресов. Тогда роутер будет использовать один из своих адресов с bridge или wireguard1 для выхода в интернет, и всё должно заработать.

pkoci

Guest

#12

16.08.2024 09:07:00

В инструкции от моего провайдера было указано запрашивать одновременно и адрес, и префикс для настройки DHCPv6-клиента. Вот так адресу 2aXX:XXXX:XXXX::400 (к которому не проходит пинг и не удаётся разрешить ifconfig.me) присваивается интерфейс wan, хотя мой префикс 2aXX:XXXX:XXXX:400::/56. Поэтому я попробовал запрашивать только префикс. Теперь команда /tool/fetch url="https://ifconfig.me/ip" address=[:resolve type=ipv6 ifconfig.me] output=user возвращает 2aXX:XXXX:XXXX:401::1 (адрес с интерфейса wireguard, а не bridge). Всё, что мне нужно — иметь доступ к своей локальной сети через ddns, ipv6 и wireguard (который работает на роутере) и при этом не переживать, если префикс поменяется.

CGGXANNX

Guest

#13

16.08.2024 10:25:00

Да, неважно, выберет ли роутер префикс интерфейса WireGuard или моста для выхода в интернет. Всё будет работать нормально, если он выберет префикс wireguard1. Кстати, у всех моих роутеров именно так: когда у меня есть несколько VLAN и интерфейсов WireGuard, роутер, кажется, отдаёт предпочтение префиксу одного из WG-интерфейсов (всегда первого, так что это предсказуемо). Поэтому, полагаю, в твоём случае правильным решением будет запрашивать префикс через DHCPv6, а не адрес?

pkoci

Guest

#14

16.08.2024 11:43:00

Да, это решило проблему с тем, что IP/Cloud не регистрировал запись AAAA, и теперь IPv6 адрес роутера доступен по ping из WAN. Однако я почти уверен, что регистрация записи AAAA в IP/Cloud работала раньше с предыдущими настройками, когда я впервые настраивал IPv6 на Mikrotik. Видимо, что-то изменилось после обновления прошивки. Я не эксперт по IPv6, но не совсем понимаю, почему роутер получил IPv6 адрес 2aXX:XXXX::400, а не, например, 2aXX:XXXX:XXXX:400::1, если у меня назначен префикс 2aXX:XXXX:XXXX:400::/56.

CGGXANNX Guest	#15 0 16.08.2024 12:24:00 Я думаю, проблема вызвана вашим интернет-провайдером, потому что они выдают вашему роутеру адрес (при запросе через DHCPv6), но не настроили правильный маршрут к этому адресу, чтобы он был доступен из интернета. В роутере виноватых нет. Практика выдачи одного отдельного адреса вместе с отдельным префиксом (не пересекающимся!) при запросе через DHCPv6 — довольно обычное явление. Один адрес обычно предназначен для случая, когда вы подключаете ПК напрямую к модему провайдера, потому что для ПК этого достаточно, и DHCPv6-клиент на ПК обычно запрашивает только адрес. Но если у вас стоит роутер, который раздаёт сеть многим устройствам локальной сети, одного адреса недостаточно, и роутер обычно запрашивает целый диапазон префиксов. Поскольку роутер может самостоятельно распоряжаться целым диапазоном, единичный адрес, назначенный через DHCPv6, не входит в этот диапазон, чтобы избежать конфликтов. Роутеру и не нужно дополнительно запрашивать этот одиночный адрес. Это обязанность провайдера правильно направлять трафик как на одиночный адрес, так и на назначенный диапазон префиксов к вашему роутеру. В вашем случае, похоже, провайдер не справился с первой частью задачи.

Читают тему

Главная Каталог 0 Корзина 0 Избранные Кабинет 0 Сравнение Акции Контакты Услуги Бренды Отзывы Компания Лицензии Документы Реквизиты Поиск Блог Обзоры