IPv6 en Pihole

[Mcjm1]

Hallo, ik zou graag IPv6 uit willen laten schakelen op mijn Connectbox. Probleem is dat lokale clients nu een IPv6-DNS krijgen toegewezen terwijl de IPv4-adressen niet door de CB, maar door Pihole worden uitgedeeld. Of heeft iemand daar een andere oplossing voor gevonden?
Alvast bedankt hiervoor.

[Marinus]

Heb je de DNS IPv4 (IPv4 adres van de Pi-hole) ingesteld op de router of op de client's?

Op mijn Connectbox Giga kan ik geen locaal IPv4 adres invullen als DNS, dus moet alles via DNS instellingen op de clients lopen. Dat is bewerkelijk.

In Principe kan ik dus ook een lokaal IPv6 adres ingeven als DNS op de client's.

Disclaimer: ik draai geen Pi-hole

[Mcjm1]

De IPv4-DNS wordt door de DHCP-server op de Pihole gepushed naar de clients. Probleem is dat de CB ook een IPv6-DNS instelt op de IPv6-capable clients, terwijl de clients wel en IPv4-DHCP adres krijgen van de Pihole. Maar omdat IPv6-DNS voorrang krijgt, wordt Adware niet geblocked door Pihole.

[Marinus]

Al getest of DHCPv4 "stateful" of "stateless" (SLAAC) op de router verschil maakt?

[PKoster]

@Mcjm1  Je geeft niet aan wat je netwerk topologie is. Is de connectbox de router en hangt de pihole als apparaat in je netwerk? Of staat de pihole fysiek tussen de connectbox en de rest van je netwerk? De connectbox staat niet in bridge modus?

De uitdaging is dat DNS instellingen voor IPv6 geadverteerd worden via 'router advertisements' en lang verhaal kort - omdat er bij IPv6 bij Ziggo consumenten aansluitingen sprake is van een volledig dynamisch netwerk met prefix delegation is de 'eenvoudige' oplossing om je eigen router (met daarop de IPv6 prefix delegation en DNS met filtering) te gebruiken.

[PKoster]

Een ietwat vuile manier om het op te lossen is om je pihole (naast het dynamisch toegekend IPv6-adres) een statisch link-local IPv6 adres toe te kennen (bijvoorbeeld fe80::1), en deze op clients handmatig te configureren als IPv6-DNS.

[Mcjm1]

De connectbox (niet in bridge-mode) is de router en de pihole is een “gewoon” apparaat in het netwerk. Op de CB is DHCpv4 uitgeschakeld. DHCPv6 op de router is als stateful ingesteld. 

[Mcjm1]

Ik kan dat een keer uitproberen, maar het probleem is dat niet op elke client een statisch IPv6-DNS is in te stellen.

[PKoster]

Als je de uitdaging aan wilt gaan, dan kan je dus overwegen om een pihole als router te gaan gebruiken (met de connectbox in bridge modus). Als je geïnteresseerd bent moet je even aangeven welke hardware je voor je pihole gebruikt dan kan ik meedenken met wat dat allemaal zal gaan inhouden.

[Mcjm1]

Dank voor je adviezen, maar ik vrees dat de Raspberry waar Pihole op draait, niet genoeg power heeft om als router te fungeren. Ik vrees dat ik maar moet leven met de IPv6-DNS.

[seeligJansen]

Helaas heb ik hier ook nog geen oplossing voor gevonden. Sinds 1 week zit ik vast aan de dual stack ipv single ipv4 die ik hiervoor had. Volgens Ziggo is het niet mogelijk om dit uit te zetten (pas sinds kort), wat betekend dat mijn apparaten in het netwerk die ipv6 ondersteunen nu niet meer via de Pihole lopen, erg frustrerend.

Alleen de modem in bridgemode zetten en er een andere router bij hangen is denk ik de way to go. Al heb ik weinig zin om daar geld aan uit te geven.

Ik hoop dat iemand hier een oplossing voor heeft, of komt.

[PKoster]

Er is niet echt een 'oplossing' die een losse pi-hole in het netwerk makkelijk mogelijk maakt omdat het symptoom veroorzaakt wordt door de fundamenteel andere werking van IPv6:

• IPv4 kent DHCP voor dynamische configuratie en krijgt via DHCP ook het adres van de router en DNS-server.
• IPv6 heeft twee protocollen - DHCPv6 en SLAAC. Omdat SLAAC tegenwoordig door alles ondersteund wordt en DHCPv6 niet door Android ondersteund wordt, raad ik aan om voor IPv6 alleen SLAAC te gebruiken en DHCPv6 niet (ook) te gebruiken.
• Het grote verschil is echter dat de informatie over de router niet meer via DHCP verstrekt wordt, maar via router advertisements - een apart protocol. Informatie over de DNS-server kan via DHCPv6 of via de router advertisements verstrekt worden.
• Bij IPv4 is het normaal om NAT toe te passen naar een private IP-reeks.
• IPv6 kent wel een equivalent (ULA, unique local address) waarvoor op de router NAT noodzakelijk is, maar het gebruik daarvan is zeldzaam en min of meer taboe - IPv6 is gestandaardiseerd op het gebruik van globaal routeerbare adressen. Ziggo biedt deze.

Wat het interessant maakt is dat deze IPv6 reeksen bij Ziggo (met uitzondering van het zakelijk pro abonnement) dynamisch zijn.

1. Wat betekent dat ook een interne DNS-server zoals de pi-hole een van deze dynamische IPv6 adressen krijgt.
2. Wat betekent dat de router (geautomatiseerd) moet weten wat dit adres is, zodat het meegegeven kan worden in de router advertisement.
3. Wat in de praktijk betekent dat de router en DNS-server hetzelfde apparaat zullen moeten zijn.

Je hebt een aantal opties, bijvoorbeeld:

• Een eigen router gebruiken die al deze functionaliteit monolithisch kan bieden, pi-hole of equivalent.
• In de router t.b.v. de router advertisements/DHCPv6 een statisch geconfigureerd link-local adres configureren voor de DNS-server, en die ook op de pi-hole configureren - een optie die mogelijk alleen geboden wordt door een meer uitgebreide (eigen) router.
• Overschakelen naar een Ziggo zakelijk Pro abonnement zodat je een statische IPv6 reeks kan krijgen die het probleem weghaalt. En... een Pro abonnement vereist een eigen router.

[Marinus]

@PKoster 

Vraagje: Hoe dynamisch is de IPv6/56. prefix?

[PKoster]

@Marinus De prefix delegation heb ik bij mij volgens mij nog niet zien veranderen, maar als je Ziggo router ophoudt met hem aan te vragen zal hij natuurlijk gaan verlopen. Mijn router vraagt hem regelmatig opnieuw op. Dus als je van plan bent IPv6 op de Ziggo router uit te zetten om te voorkomen dat de DNS door de Ziggo router geadverteerd wordt, nadat je de prefix handmatig overgenomen hebt, vermoed ik dat het snel mis gaat. Heeft iemand daar ervaring mee? Bovendien zal (als je interne IPv6 op de Ziggo router deactiveert) de router advertisements waar de DNS in meekomt ophouden, heeft je gehele netwerk geen router meer, en is IPv6 functieloos.

[Marinus]

@PKoster 

Ik zou niet weten hoe ik IPv6 op mijn connector giga moet uitzetten, of beter DHCPv6 of SLAAC beide moet uitzetten (wil ik ook helemaal niet!).

Zojuist voor de grap de IPv6 DNS servers setting op het router eens aangepast in:

 - primair: IPv6 DNS Google

 - secundair: IPv6 adres van mijn DNSMasq server

Geen idee of dit überhaupt gaat werken (werkt niet voor IPv4, ik kan geen intern 192 adres als DNS server opgeven). Zal de volgende week eens proberen te testen (hoe?).

[MR_CHIP]

dat klopt bij ziggo kan je geen interne dns invoeren dit vanwege veiligheid heb ik vernomen 

[Marinus]

Op mijn oude Technicolor TC7210 ging dat prima voor IPv4.

Op de nieuwe UBEE zou dit ook moeten kunnen heb ik gelezen.

Op de Connectbox Giga kan het niet, dus zonder trucks (DHCP IPv4 uitzetten en aanzetten op PI-Hole) geen Pi-Hole. 

[MR_CHIP]

op het ubee zakelijk modem kan dit ook niet mij was het niet gelukt t

tevens kan je op het ubee modem alleen override dns op ipv4 adres doen ipv6 adres geeft hij gelijk incorrect adres aan

[Kameleon1987]

Heb je deze topic al eens gevolgd?
https://discourse.pi-hole.net/t/how-to-set-up-ipv6-for-pihole-correctly/42901/3

Misschien heb je er wat aan.

[PKoster]

Helaas kan ik niet meedenken over de configuratie van de Ziggo modem zelf - ik heb ervaring met de meer geavanceerde netwerk inrichtingen die mogelijk zijn met een eigen router achter de Ziggo modem.

De link van @Kameleon1987 had ik ook gevonden toen ik naar de (on)mogelijkheden op zoek ging. Die link vat het redelijk samen, maar stelt voor ULA te gebruiken. Dat is alleen een optie indien de Ziggo router een NAT biedt voor ULA IPv6-adressen. Dat zal iemand moeten testen. Je hebt een kans dat die functionaliteit niet geboden wordt gezien Ziggo de IPv6 dienst gebaseerd heeft op prefix delegation van globaal routeerbare adressen. De reden dat je dat nodig hebt is dat zonder die functionaliteit de pi-hole zelf of de clients mogelijk met het internet zal willen gaan communiceren met het ULA adres - die niet geldig is op het internet.

Ik heb een sterk vermoeden dat een inrichting gebaseerd op ULA ... ook weer een eigen router nodig gaat hebben.