Re: plat?

Newsgroups	xs4all.ipv6
From	Rob <nomail@example.com>
Subject	Re: plat?
References	(5 earlier) <60a22f52$0$3530$e4fe514c@newszilla.xs4all.nl> <20210517221436.023f3f3c77fa8bbe6a6139f6@lucassen.org> <60b2434f$0$10090$e4fe514c@newszilla.xs4all.nl> <slrnsb4jtu.vss.nomail@xs9.xs4all.nl> <60b26932$0$10083$e4fe514c@newszilla.xs4all.nl>
Message-ID	<slrnsb6lto.vss.nomail@xs9.xs4all.nl> (permalink)
Date	2021-05-30 09:15 +0000

Show all headers | View raw

Udo <udovdh@xs4all> wrote:
> On 29-05-2021 16:29, Rob wrote:
>> Udo <udovdh@xs4all> wrote:
>>> On 17-05-2021 22:14, richard lucassen wrote:
>>>> On Mon, 17 May 2021 10:54:42 +0200
>>>> Udo <udovdh@xs4all> wrote:
>>>>
>>>>>    > Laat poort 546/udp eens toe vanaf fe80::/10
>>>>
>>>>> Dat gebeurt min of meer al:
>>>>>
>>>>> [root@vuurmuur ~]# ip6tables -L -v -n -x|grep 546
>>>>>        4246   768526 ACCEPT     udp      ppp0   *       ::/0
>>>>>       ::/0                 udp spt:547 dpt:546
>>>>>
>>>>>
>>>>> In `dmesg` komen geen gedropte UDP packets voor die samenhangen met
>>>>> dhclient c.q. dhcp-server.
>>>>> Zonder firewall gedraagt dhclient zich identiek: alleen verzoeken
>>>>> verzenden, niet reageren op antwoorden van de dhcp-server.
>>>>
>>>> Dit staat er bij mij in:
>>>>
>>>> -A INPUT -s fe80::/10 -p udp --dport 546 -j ACCEPT
>>>>
>>>> Geen idee of de src port altijd 547 is.
>>>
>>> In mijn dtcpdumps wel.
>>> Zoniet zou ik e.e.a. ook gelogd zien als geblockt.
>>> En dat gebeurt niet.
>>>
>>> Ik heb dus geen idee of het DHCP verkeer via INPUT en FORWARD bij
>>> dhclient aankomt. (logische verklaring: nee)
>>> Ook heb ik geen idee waarom het DHCP de FORWARD in gaat of moet.
>>> Het adres waar e.e.a. heen moet immers is lokaal.
>>> Zie https://bugzilla.redhat.com/show_bug.cgi?id=1956209#c7 voor tcpdump
>>> met kale IPv6 adressen.
>>> Zie ik iets over het hoofd wat de rare FORWARD verklaart?
>> 
>> Ik gebruik altijd MikroTik routers waar intern Linux draait (iptables)
>> en ik heb de rules die hiermee te maken hebben altijd alleen bij INPUT
>> staan.  Dat werkt prima.
>
> Nou, dat zou dan een aanwijzing zijn dat de FORWARD inderdaad vreemd is.
> Gezien de tcpdump, is er iets op te merken aan de inkomende data 
> waardoor deze de FORWARD regel in gaat?
>
> Komt het doordat dhclient luistert op ppp0 waar alleen een link-local 
> nummer op zit voor IPv6?

Dat lijkt me niet, dit verkeer wordt altijd met link-local adressen
afgewikkeld zie ook die firewall rule daarboven.  Ik heb deze rules
er in staan:

/ipv6 firewall filter
add action=accept chain=input comment="Established / Related" \
    connection-state=established,related
add action=drop chain=input log=yes log-prefix=bad_ipv6 src-address-list=\
    bad_ipv6
add action=accept chain=input protocol=icmpv6
add action=accept chain=input comment=DHCPv6-client dst-port=546 \
    in-interface-list=internet protocol=udp src-address=fe80::/10
add action=reject chain=input comment=DHCPv6-server dst-address=ff02::1:2/128 \
    dst-port=547 protocol=udp reject-with=icmp-port-unreachable src-port=546
add action=reject chain=input log=yes log-prefix=default reject-with=\
    icmp-admin-prohibited

Dit is in RouterOS syntac maar de mapping naar iptables is wel duidelijk.

Thread

plat? Rob <nomail@example.com> - 2021-05-11 13:01 +0000
  Re: plat? richard lucassen <mailinglists@lucassen.org> - 2021-05-11 18:26 +0200
    Re: plat? Rob <nomail@example.com> - 2021-05-11 16:33 +0000
      Re: plat? "Miquel van Smoorenburg" <mikevs@xs4all.nederland.invalid> - 2021-05-11 20:57 +0000
        Re: plat? Rob <nomail@example.com> - 2021-05-11 21:06 +0000
          Re: plat? "Miquel van Smoorenburg" <mikevs@xs4all.nederland.invalid> - 2021-05-11 22:09 +0000
  Re: plat? Udo <udovdh@xs4all> - 2021-05-15 13:00 +0200
    Re: plat? Rob <nomail@example.com> - 2021-05-15 13:40 +0000
      Re: plat? Udo <udovdh@xs4all> - 2021-05-16 06:42 +0200
        Re: plat? richard lucassen <mailinglists@lucassen.org> - 2021-05-16 11:07 +0200
          Re: plat? Udo <udovdh@xs4all> - 2021-05-17 10:53 +0200
          Re: plat? Udo <udovdh@xs4all> - 2021-05-17 10:54 +0200
            Re: plat? richard lucassen <mailinglists@lucassen.org> - 2021-05-17 22:14 +0200
              Re: plat? Udo <udovdh@xs4all> - 2021-05-29 15:36 +0200
                Re: plat? Rob <nomail@example.com> - 2021-05-29 14:29 +0000
                Re: plat? Udo <udovdh@xs4all> - 2021-05-29 18:17 +0200
                Re: plat? Rob <nomail@example.com> - 2021-05-30 09:15 +0000
                Re: plat? Udo <udovdh@xs4all> - 2021-05-30 11:42 +0200
                Re: plat? Rob <nomail@example.com> - 2021-05-30 09:58 +0000
                Re: plat? Udo <udovdh@xs4all> - 2021-05-30 13:29 +0200
          Re: plat? Udo <udovdh@xs4all> - 2021-05-17 11:00 +0200
            Re: plat? Udo <udovdh@xs4all> - 2021-05-24 07:04 +0200
        Re: plat? Rob <nomail@example.com> - 2021-05-16 17:38 +0000
          Re: plat? Coen <newstrash1110@rosdorff.dyndns.org> - 2021-05-17 00:09 +0200
          Re: plat? "Miquel van Smoorenburg" <mikevs@xs4all.nederland.invalid> - 2021-05-16 21:35 +0000
            Re: plat? Rob <nomail@example.com> - 2021-05-17 07:35 +0000
              Re: plat? richard lucassen <mailinglists@lucassen.org> - 2021-05-17 22:10 +0200
            Re: plat? Rob <nomail@example.com> - 2021-05-18 08:20 +0000
            Re: plat? "A. Dumas" <alexandre@dumas.fr.invalid> - 2021-07-09 12:54 +0200
              Re: plat? Koos van den Hout <koos+newsposting@idefix.net> - 2021-07-09 12:32 +0000

csiph-web