Mikrotik.moscow [тема: IPv6 DS Lite]

IPv6 DS Lite

Mon, 20 Nov 2023 19:22:00 -0500

IPv6 DS Lite RouterOS в форуме RouterOS.
TCP MSS Clamping уже включён на туннеле, так что, скорее всего, что-то работает не так, как должно. Попытка простого пинга с установленным битом DF ведёт себя как ожидалось, то есть ответы приходят, если только пакеты не становятся слишком большими для рассчитанного MTU. Конечно, это не гарантирует, что TCP MSS настроен правильно, но по крайней мере с частью, связанной с MTU, всё вроде нормально.
20.11.2023 19:22:00, Smoerrebroed.

IPv6 DS Lite

Mon, 20 Nov 2023 16:53:00 -0500

IPv6 DS Lite RouterOS в форуме RouterOS.
Страницы не загружаются или грузятся очень долго — это может указывать на проблемы с MTU, обработкой фрагментов или обнаружением PMTU. По умолчанию стоит clamp-tcp-mss=yes на туннельном интерфейсе, что должно это исправить, а значит, проблема скорее всего у них на шлюзе. Можно попробовать установить dont-fragment=yes — тогда пакеты с избыточным размером будут отбрасываться, что может помочь с обнаружением PMTU. Ещё можно попробовать явно прописать правила в файрволе, чтобы либо проверить TCP MSS, либо принудительно установить его в 1412 [1500 - 8 (PPPoE) - 40 (IPv6 заголовок) - 20 (IPv4 заголовок) - 20 (TCP заголовок)].
20.11.2023 16:53:00, tdw.

IPv6 DS Lite

Mon, 20 Nov 2023 16:51:00 -0500

IPv6 DS Lite RouterOS в форуме RouterOS.
Может попробовать зажать TCPMSS в файрволе?
20.11.2023 16:51:00, whatever.

IPv6 DS Lite

Mon, 20 Nov 2023 11:42:00 -0500

IPv6 DS Lite RouterOS в форуме RouterOS.
Загрузка процессора кажется около 5 %, даже когда я гоню линию на полную при тесте скорости, так что, скорее всего, проблема не в этом. PPPoE MTU настроен автоматически на 1492, а MTU туннеля ipipv6 — на 1452, что мне кажется нормальным. Однако спустя несколько дней использования этой конфигурации обнаружилось, что не только максимальная скорость стала ниже, но и несколько сайтов либо вообще не грузятся, либо загружаются очень долго (с множеством попыток). Кажется, раньше такое бывало при слишком большом MTU, но даже при уменьшении MTU туннеля до 1300 ничего не изменилось. Я уже поднял этот вопрос у своего провайдера, но хотел бы сначала собрать мнения здесь, чтобы лучше подготовиться. К тому же, технические знания провайдера явно поверхностные. По моим ощущениям, Huawei настроили у них всё, а теперь эти ребята просто вынуждены работать с системой, не имея ни должных знаний, ни опыта в таком деле. В общем, я подозреваю, что CGN просто неправильно настроен или перегружен, но так как у меня ноль опыта с такой конфигурацией, хочу убедиться, что не упускаю чего-то очевидного.
20.11.2023 11:42:00, Smoerrebroed.

IPv6 DS Lite

Sun, 12 Nov 2023 16:59:00 -0500

IPv6 DS Lite RouterOS в форуме RouterOS.
Трудно сказать — вы можете проверить загрузку CPU на вашем устройстве, но чаще всего невозможно узнать, что делает провайдер. Скорее всего, дело в фрагментированных пакетах — стандартный MTU для туннелей Mikrotik ipipv6, по-видимому, составляет 1460 (то есть 1500 минус размер заголовка IPv6). Если ваш IPv6 WAN меньше 1500, это может вызывать фрагментацию. Точно понять, где именно происходит фрагментация (внутри или за пределами туннеля), бывает сложно без захвата и анализа пакетов.
12.11.2023 16:59:00, tdw.

IPv6 DS Lite

Sun, 12 Nov 2023 14:43:00 -0500

IPv6 DS Lite RouterOS в форуме RouterOS.
Да, пока что я избегал возни с настройкой имени AFTR при каждом новом подключении, так как оно, кажется, статичное, и зачем усложнять. В любом случае, после двух дней работы я заметил, что производительность на IPv4 немного нестабильна, и задумываюсь, связано ли это с CGN (AFTR), который использует мой провайдер, или с чем-то другим. Если быть точнее, до перехода на DS Lite я практически полностью нагружал свой гигабитный канал до ONT. Сейчас же скорость достигает примерно 750 Мбит/с, что кажется немного низким показателем. По обратному каналу я получаю обещанные 300 Мбит/с, поэтому интересно, не является ли узким местом здесь что-то моё (RB5009) или CGN провайдера. Помимо обсуждения с провайдером, хотел бы услышать и ваше мнение. Заранее спасибо!
12.11.2023 14:43:00, Smoerrebroed.

IPv6 DS Lite

Fri, 10 Nov 2023 20:24:00 -0500

IPv6 DS Lite RouterOS в форуме RouterOS.
Рад, что у вас всё заработало. Поскольку имя сервера AFTR для этого провайдера, по всей видимости, не меняется, вам также не нужно заниматься парсингом ответа DHCPv6 опции 64 и обновлением удалённого IPv6-адреса ipipv6. Кстати, хотя IPv4-адрес туннеля выбирается произвольно, IANA зарезервировала диапазон 192.0.0.0/29, чтобы избежать конфликтов, которые могут возникнуть при использовании случайных адресов. https://datatracker.ietf.org/doc/html/rfc6333#section-5.7
10.11.2023 20:24:00, tdw.

IPv6 DS Lite

Fri, 10 Nov 2023 19:59:00 -0500

IPv6 DS Lite RouterOS в форуме RouterOS.
Ладно, теперь всё работает. Особая благодарность tdw! В чём решение? На этот раз помогло просто убрать конфигурацию keepalive. ROS всё равно через секунду подставил значения по умолчанию, но сразу после этого я увидел статус «running». Отлично! Следующий шаг — настройка маршрутизации. Тут я немного заблудился, думая, что туннель состоит из двух нумерованных концов и что нужно использовать удалённый конец как шлюз. Но оказалось, это не обязательно. Всё, что нужно — назначить произвольный IPv4-адрес и настроить его как шлюз по умолчанию для 0.0.0.0/0. Вуаля! То есть что-то вроде:

/interface ipipv6 add name=dslite1 remote-address=aftr.prod.m-online.net !keepalive
/ip address add address=192.0.0.2/29 interface=dslite1
/ip route add dst-address=0.0.0.0/0 gateway=192.0.0.1
10.11.2023 19:59:00, Smoerrebroed.

IPv6 DS Lite

Fri, 10 Nov 2023 14:27:00 -0500

IPv6 DS Lite RouterOS в форуме RouterOS.
Ты можешь попробовать !keepalive на туннельном интерфейсе, так как удалённая сторона может не отвечать на запросы, или же трафик блокируется правилами файрвола.
10.11.2023 14:27:00, tdw.

IPv6 DS Lite

Fri, 10 Nov 2023 12:42:00 -0500

IPv6 DS Lite RouterOS в форуме RouterOS.
Похоже, что по какой-то причине туннель IPIPv6 не поднимается — по крайней мере, я могу пропинговать только IP-адрес роутера на этом конце туннеля, а вот «другую сторону» — нет. Как я уже говорил выше: никаких признаков подключения (или попыток подключения) интерфейса туннеля не видно. Зато я могу пинговать AFTR по IPv6, значит он работает. Есть идеи, как это отладить? Заранее спасибо!

ПОПРАВКА: к сведению, туннель, который я настроил, не показывает, что он недействителен, не запущен, не подчинен и не является проходным — то есть толком никакой полезной информации.
10.11.2023 12:42:00, Smoerrebroed.

IPv6 DS Lite

Fri, 10 Nov 2023 09:29:00 -0500

IPv6 DS Lite RouterOS в форуме RouterOS.
Хорошо, конечно, я использовал :log для тестирования, так как скрипт не выполняется интерактивно. Может, писать :put было глупой идеей… В любом случае, похоже, что опция предоставляется без явного запроса, но по крайней мере ROS просто показывает плоскую строку без каких-либо спецсимволов. Копирование текста из лога в текстовый редактор показывает некоторые специальные символы, так что это, скорее всего, и есть AFTR FQDN. Спасибо за помощь, очень признателен! Сейчас обновлю правила фаервола и посмотрю, заработает ли туннель. Довольно странно, что статус на туннельном интерфейсе так и не показывает «link up» или «link down».
10.11.2023 09:29:00, Smoerrebroed.

IPv6 DS Lite

Fri, 10 Nov 2023 00:41:00 -0500

IPv6 DS Lite RouterOS в форуме RouterOS.
Команда :put выводит данные в консоль, но можно использовать :log вместо нее. Ты запрашиваешь эту опцию? Согласно спецификациям, серверы не должны отправлять OPTION_AFTR_NAME, если это явно не запрошено, поэтому /ipv6 dhcp-client option add code=6 name=OPTION_ORO value=0x0040.

Документация довольно скудная и неясно, комбинируются ли другие опции запроса от клиента, например DNS-серверы, или они перезаписываются, так что возможно придется захватить пакеты, чтобы проверить. Также непонятно, будет ли Mikrotik переводить ответ, который использует форматирование DNS-меток — строка FQDN aftr.example.com возвращается в виде последовательности байтов/символов <0x04> a f t r <0x07> e x a m p l e <0x03> c o m <0x00>.
10.11.2023 00:41:00, tdw.

IPv6 DS Lite

Thu, 09 Nov 2023 22:51:00 -0500

IPv6 DS Lite RouterOS в форуме RouterOS.
Похоже, этот фрагмент всё ещё актуален и работает на последнем стабильном релизе (ROS 7.11.2 на момент написания). Но вот не могу достать имя AFTR, которое должен предоставить мой провайдер. Так что прежде чем спрашивать у них, не могло бы что-то вроде :put ($options->"64") вывести рекламируемый AFTR при запуске скрипта, прикреплённого к DHCP-клиенту? Согласно RFC 6334, это должно быть полное доменное имя, но у меня это совсем не похоже на него. Заранее спасибо!
09.11.2023 22:51:00, Smoerrebroed.

IPv6 DS Lite

Thu, 07 Apr 2022 19:54:00 -0400

IPv6 DS Lite RouterOS в форуме RouterOS.
Я не знаю готового примера для копирования и вставки. Также есть различные известные проблемы с IPv6 Router Advertisements и DHCPv6 Prefix Discovery через PPPoE-соединения в RouterOS v7, которые, надеюсь, исправлены в недавно выпущенной версии v7.2. Для IPv6 это должно выглядеть примерно так, как в примере для RouterOS v6: отключить или удалить IPv4 DHCP-клиент на ether1, принимающий router advertisements.

/ipv6 settings set accept-router-advertisements=yes

Добавить VLAN-интерфейс на WAN-порт:

/interface vlan add interface=ether1 name=vlan40-ether1 vlan-id=40

Добавить PPPoE-клиент на VLAN-интерфейс:

/interface pppoe-client add add-default-route=yes allow=chap disabled=no interface=vlan40-ether1 name=pppoe-out1 password=XXXXXXXX use-peer-dns=yes user=XXXXXXXX

Добавить PPPoE-клиент в список WAN-интерфейсов:

/interface list member add interface=pppoe-out1 list=WAN

Добавить DHCPv6-клиент к PPPoE-интерфейсу, запрашивая только префикс, без добавления default gateway, обычно с rapid commit:

/ipv6 dhcp-client add add-default-route=no interface=pppoe-out1 pool-name=pool-pd request=prefix use-peer-dns=yes

Добавить IPv6-адрес из DHCPv6 пула на локальную LAN:

/ipv6 address add address=::1 from-pool=pool-pd interface=bridge

Это должно дать IPv6-соединение, вы сможете успешно пропинговать адрес, например 2a00:1450:4009:818::2003, как с Mikrotik, так и с клиента в LAN. Потом добавьте настройку IPIPv6 туннеля и отключите правило IPv4 NAT, возможно, придется немного подкорректировать правила firewall.
07.04.2022 19:54:00, tdw.

IPv6 DS Lite

Wed, 06 Apr 2022 21:24:00 -0400

IPv6 DS Lite RouterOS в форуме RouterOS.
Можешь, пожалуйста, объяснить мне по шагам, как настроить DS Lite? Заранее спасибо!
06.04.2022 21:24:00, KaSp3rSky.

IPv6 DS Lite

Wed, 06 Apr 2022 20:56:00 -0400

IPv6 DS Lite RouterOS в форуме RouterOS.
Как только у вас появится работающая IPv6-подключение, вы сможете использовать IPIPv6-туннель для соединения с AFTR, а так как провайдер предоставляет DNS-имя вроде:
/interface ipipv6 add name=dslite1 remote-address=aftr.prod.m-online.net
/ip address add address=192.0.0.2/29 interface=dslite1
/ip route add gateway=192.0.0.1

Согласно спецификациям, NAT применять не нужно, а для лучшей защиты желательно настроить соответствующие правила файрвола.
06.04.2022 20:56:00, tdw.

IPv6 DS Lite

Wed, 06 Apr 2022 19:57:00 -0400

IPv6 DS Lite RouterOS в форуме RouterOS.
Должно быть соединение IPv6 DS Lite с приватным и динамическим IPv6-адресом и туннелированным IPv4-адресом, назначаемым через NAT. Есть идеи?
06.04.2022 19:57:00, KaSp3rSky.

IPv6 DS Lite

Sun, 13 Mar 2022 09:55:00 -0400

IPv6 DS Lite RouterOS в форуме RouterOS.
Всем привет! Я уже много лет использую Mikrotik и менять на что-то другое не собираюсь. Очень доволен этими устройствами. У меня есть свой набор настроек, которым пользуюсь уже давно. Теперь, когда я сменил интернет-провайдера (Германия), впервые столкнулся с IPv6 DS Lite. Я полный новичок в этом вопросе и понятия не имею, как это настроить. Сейчас у меня в работе RB5009UG+S+IN. От провайдера у меня есть такая информация: PPP пользователь: ***** PPP пароль: ***** VLAN ID для данных: 40 IP протокол: IPv6 DS Lite AFTR адрес: aftr.prod.m-online.net Прошу всех добрых людей, кто готов помочь мне с этим шаг за шагом, буду очень признателен.
13.03.2022 09:55:00, KaSp3rSky.