Thread Info
  • State Not Answered
  • Locked Locked
  • Replies 14 replies
  • Subscribers 2 subscribers
  • Views 6633 views
  • Users 0 members are here
Options
Suggested
This discussion has been locked.
You can no longer post new replies to this discussion. If you have a question you can start a new discussion

IPv6 network usage problems

ZeusDionysos
Hello,

I've got some problems with IPv6.
First my environment:
- Sophos UTM220rev5
- 1 WAN with Dual Stack IPv4/IPv6
- internal LAN and DMZ with Dual Stack IPv4/IPv6
- internal LAN Exchange 2010 server with OWA (mails are going through the UTM)
- internal LAN Windows Domain Controller with DHCP

IPv4 config:
WAN: xx.xx.xx.162
OWA: xx.xx.xx.165

IPv6 config:
WAN: xx::2
OWA: xx::cf36

OWA address is mapped on interface WAN. (Just as some more addresses like one for VPN etc.)

Outgoing IPv4 mails are send through WAN just like it should (using WAN IP). If I visit pages which tell me my IP I got the correct IP (the IP from WAN because we use NAT for IPv4).

Outgoing IPv6 mails somehow go over OWA IP, also the client http/s traffic. 
My Domain Controller assigns me e.g. the IP xx::908a:e5d5 (valid LAN IP). The mailserver also got a vaild static LAN IP. But no matter from which client or server I visit the 'whatsmyip'-websites, I've got everytime the xx::cf36 address and not the WAN2 address or the address of the server/client itself.
Firewall rules are the same for IPv4 and IPv6.

My question: why is every IPv6 stuff going over the OWA xx::cf36 address?
How can I affect it?
In my theorie the mails should be going out over WAN xx::2 and not OWA xx:cf36.
And for the clients I would expect that they are a) using also WAN xx::2 or their DHCP assigned IP (e.g. xx::908a:e5d5).

==UPDATE==
Apparently the Web protection is responsible for the http (port 80) traffic going over co:ff:ee::cf36.
But the ::cf36 is not the IP of the gateway. I would expect it is the WAN IP but I am not sure.

Yet my main Problem is that outgoing mail (SMTP) is also using the co:ff:ee::cf36 address for sending mail and not the co:ff:ee::2 or co:ff:ee::1 from our router. The mail traffic is going through the UTM SMTP proxy.
==UPDATE==

If you need more information or configs for a better understanding please ask.

Best regards
Chris


This thread was automatically locked due to age.
  • 0
    why is every IPv6 stuff going over the OWA xx::cf36 address?
    How can I affect it?

    Do you have any SNAT or Proxy running?
    How does your Masquerading look like (Network Protection -> NAT)?
    Can you show us some screenshots of your Interface configurations, additional addresses and IPv6 configuration?

    ----------
    Sophos user, admin and reseller.
    Private Setup:

    • XG: HPE DL20 Gen9 (Core i3-7300, 8GB RAM, 120GB SSD) | XG 18.0 (Home License) with: Web Protection, Site-to-Site-VPN (IPSec, RED-Tunnel), Remote Access (SSL, HTML5)
    • UTM: 2 vCPUs, 2GB RAM, 50GB vHDD, 2 vNICs on vServer (KVM) | UTM 9.7 (Home License) with: Email Protection, Webserver Protection, RED-Tunnel (server)
  • 0
    I'll answer your questions next monday, I'm currently not in the office.

    Regarding the screenshots: I have the utm running in german language. Can I change the gui language to english for a better visualization? If yes how?
  • 0
    No problem for me, I'm german... [;)]

    To change it go to Verwaltung -> WebAdmin -> Allgemein.
    Select English in the dropdown menu, then Apply.

    You will be logged out, after logging in again WebAdmin is in English.

    ----------
    Sophos user, admin and reseller.
    Private Setup:

    • XG: HPE DL20 Gen9 (Core i3-7300, 8GB RAM, 120GB SSD) | XG 18.0 (Home License) with: Web Protection, Site-to-Site-VPN (IPSec, RED-Tunnel), Remote Access (SSL, HTML5)
    • UTM: 2 vCPUs, 2GB RAM, 50GB vHDD, 2 vNICs on vServer (KVM) | UTM 9.7 (Home License) with: Email Protection, Webserver Protection, RED-Tunnel (server)
  • 0
    Okay, WebAdmin is running now in english, thank you.

    SNAT: no, only DNAT rules (IPv4/IPv6).
    Proxy: Web Proxy running in transparent mode.

    Attached you can find the requested screenshots.
    interfaces_sophos.jpg: Overview of interfaces
    interfaces_sophos_2.jpg: Additional addresses
    ipv6_1.jpg: IPv6 global view and status

    Prefix Advertisements are deactivated for LAN.
    Auto IPv6 Renumbering is activated.
    6to4 and Tunnel Broker are deactivated.

    I also manualy edit /vi/etc/radvd.conf to change the following:
    AdvManagedFlag (changing it from off to on)
    We need it that our LAN clients get the proper DHCPv6 Addresslease from our LAN-DHCP-Server.

    (Somehow we yet haven't managed to get a proper IPv6-Defaultgateway advertised. The gateway should be the sophos but the clients always get a link local address. But that's an other problem.)
  • 0
    Seems your provider hands out a prefix directly to your wan line instead of doing prefix delegation. So the UTM is not able to route an IPv6 network.
    I doubt UTM can handle it the way it is now...

    Gateway: With IPv6 the DG is always a fe80:... address when working with prefix delegation or DHCPv6.

    ----------
    Sophos user, admin and reseller.
    Private Setup:

    • XG: HPE DL20 Gen9 (Core i3-7300, 8GB RAM, 120GB SSD) | XG 18.0 (Home License) with: Web Protection, Site-to-Site-VPN (IPSec, RED-Tunnel), Remote Access (SSL, HTML5)
    • UTM: 2 vCPUs, 2GB RAM, 50GB vHDD, 2 vNICs on vServer (KVM) | UTM 9.7 (Home License) with: Email Protection, Webserver Protection, RED-Tunnel (server)
  • 0
    Don't understand it with the prefix... For me both IPv6 and IPv4 configuration looks identical. Only difference is that with IPv4 I get some specific IPs and with IPv6 I get a /48 block. And yet I still dont understand why the Sophos is using ::cf36 and not ::2 or something complete different...
  • 0 in reply to ZeusDionysos
    How are you using the /48, have you broken it down to /64 external and a /64 internal?
    You don't need a DNAT or SNAT for IPv6, your firewall rules should handle the packet destinations. 
    The web proxy can't differentiate outbound traffic, eg all traffic goes through the one interface.

    Ian

    XG115W - v20.0.2 MR-2 - Home

    XG on VM 8 - v21 GA

    If a post solves your question please use the 'Verify Answer' button.

  • 0
    DNAT is running primary for VPN. When we got IPv6 back then I just added the IPv6 addresses to the existing DNAT rules.

    For internal networks we use /64. Our WAN interface got an ::2/48.
    We use the co:ff:ee:: everywhere, eg co:ff:ee:aa:: for LAN, co:ff:ee:bb:: for DMZ and so one.
    But I'm somehow confused now.
    co:ff:ee::cf36 can be both /48 and /64, right?
    If I set our WAN interface from the current co:ff:ee::2/48 to co:ff:ee::2/64, can I still use co:ff:ee:1111:[:D]35c/64?

    From my ISP I've got the following information about IPv6:
    The given router is preconfigured to route prefix co:ff:ee::/48 to co:ff:ee::2/48. Please set this IPv6-Address (co:ff:ee::2/64) [note: no typo from me] at the connected device (our Sophos). This device (our Sophos) is now for a further splitting/distribution of the prefix responsible.
    (Other configs available at request.)

    Could the problem be that I've set /48 for the WAN interface in the Sophos? If yes and if I change it to /64, will my other internal /64 networks still work without reconfiguration?
  • 0 in reply to ZeusDionysos
    Hi,
    a /48 is usually your total IPv6 address assignment for your internal network. The WAN interface is usually a /64 or even a /128 equivalent to a /32 for IPv4.
    IPv6 addressing is no different to IPv4 for allocation, you can only use an address once regardless of mask.
    It is like using 192.168.44.10/32 and 192.168.44.10/28 on different links within in your network, the router would be very confused.

    Ian

    XG115W - v20.0.2 MR-2 - Home

    XG on VM 8 - v21 GA

    If a post solves your question please use the 'Verify Answer' button.

  • 0
    Okay, I changed my WAN co:ff:ee::2/48 to co:ff:ee::2/64. Now everything is configured to use /64.
    My LAN got co:ff:ee:aa::/64 (unchanged) and so on for the other networks.

    The IPv6 Connectivity panel shows now co:ff:ee::2 native over WAN and Subnet: co:ff:ee::/64.

    After tests I still got the co:ff:ee::cf36 as external IP. I got the idea it could be because this IP is at first position in additional addresses so I changed the name of another address to be at first position but as far as it looks now it didn't help.

    Any other ideas how I can affect the sophos which IP is used?
Unfiltered HTML