[gelöst] IPv6: link local DNS unklare Funktion

[TRex]

[cont: viewtopic.php?p=1308696#p1308696]

Ich kam (dank Yodafon) am Wochenende auf die Idee, mein DNS zu debuggen.

Code: Alles auswählen

$ dig +short -6 @fe80::6651:6ff:fed8:6ec1%2 google.com
142.250.184.238

$ grep nameserver /etc/resolv.conf
nameserver 192.168.10.100
nameserver fe80::6551:6ff:fed8:6ec1%enp3s0

$ dig +short -6 google.com
;; communications error to fe80::6551:6ff:fed8:6ec1%2#53: timed out
;; communications error to fe80::6551:6ff:fed8:6ec1%2#53: timed out
;; communications error to fe80::6551:6ff:fed8:6ec1%2#53: timed out
;; no servers could be reached

Mit wireshark sehe ich dann, dass bei letzterem vorher noch mit ICMPv6 im Trüben gefischt wird, ich weiß aber nicht, wieso das so ist. Ich kann gerade nicht sagen, ob mein Setup funktioniert oder einfach immer der IPv4-Eintrag verwendet wird.

Nachtrag:

Lokales Interface:

Code: Alles auswählen

$ ip -6 a show dev enp3s0
2: enp3s0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 state UP qlen 1000
    [...]
    inet6 fe80::242:8c6e:362f:9413/64 scope link 
       valid_lft forever preferred_lft forever

Code: Alles auswählen

$ ip -6 r
::1 dev lo proto kernel metric 256 pref medium
2a02:8071:3482:9a20::/64 dev enp3s0 proto ra metric 1002 mtu 1500 pref medium
fe80::/64 dev tun0 proto kernel metric 256 pref medium
fe80::/64 dev enp3s0 proto kernel metric 256 pref medium
default via fe80::de15:c8ff:fe38:8de6 dev enp3s0 proto ra metric 1002 mtu 1500 pref medium

Gegenseite:

Code: Alles auswählen

$ ip -6 a show dev eth1
3: eth1: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 state UP qlen 1000
   [...]
    inet6 fe80::6651:6ff:fed8:6ec1/64 scope link 
       valid_lft forever preferred_lft forever

[TRex]

@TRex: Ich vermute das dein NDP nicht richtig funktioniert. Was sagt

Code: Alles auswählen

ip -6 neigh

Code: Alles auswählen

$ ip -6 neigh
fe80::6651:6ff:fed8:6ec1 dev enp3s0 lladdr 64:51:06:d8:6e:c1 STALE 
2a02:8071:3482:9a20:de15:c8ff:fe38:8de6 dev enp3s0 lladdr dc:15:c8:38:8d:e6 router REACHABLE 
fe80::de15:c8ff:fe38:8de6 dev enp3s0 lladdr dc:15:c8:38:8d:e6 router REACHABLE 
fe80::6651:6ff:fed8:6ec1 dev tun0 FAILED 
fe80::6551:6ff:fed8:6ec1 dev enp3s0 FAILED

Ich bin mir nicht ganz sicher, was das bedeutet. tun0 ist okay - das ist tinc.

[mat6937]

Code: Alles auswählen

$ ip -6 neigh
fe80::6551:6ff:fed8:6ec1 dev enp3s0 FAILED

Ich bin mir nicht ganz sicher, was das bedeutet.

Lt. manpage:

failed
max number of probes exceeded without
success, neighbor validation has ultimately failed.

Die IPv6-Adresse ist nicht erreichbar bzw. kann nicht benutzt werden (hier für v6DNS).

[TRex]

Aber wieso funktioniert dann der direkte Aufruf mit dig?

Was auf der Serverseite passiert, während dig über resolv.conf verhungert:

Code: Alles auswählen

# tcpdump -n | grep ICMP
tcpdump: verbose output suppressed, use -v[v]... for full protocol decode
listening on eth1, link-type EN10MB (Ethernet), snapshot length 262144 bytes
09:02:29.440123 IP6 fe80::242:8c6e:362f:9413 > ff02::1:ffd8:6ec1: ICMP6, neighbor solicitation, who has fe80::6551:6ff:fed8:6ec1, length 32
09:02:30.450788 IP6 fe80::242:8c6e:362f:9413 > ff02::1:ffd8:6ec1: ICMP6, neighbor solicitation, who has fe80::6551:6ff:fed8:6ec1, length 32
09:02:31.464120 IP6 fe80::242:8c6e:362f:9413 > ff02::1:ffd8:6ec1: ICMP6, neighbor solicitation, who has fe80::6551:6ff:fed8:6ec1, length 32
09:02:33.257074 IP6 fe80::14ce:dd9e:c7e6:b58d > ff02::1:ffd8:6ec1: ICMP6, neighbor solicitation, who has fe80::6551:6ff:fed8:6ec1, length 32
09:02:33.769292 IP6 fe80::14ce:dd9e:c7e6:b58d > ff02::1:ffd8:6ec1: ICMP6, neighbor solicitation, who has fe80::6551:6ff:fed8:6ec1, length 32
09:02:34.444236 IP6 fe80::242:8c6e:362f:9413 > ff02::1:ffd8:6ec1: ICMP6, neighbor solicitation, who has fe80::6551:6ff:fed8:6ec1, length 32
09:02:34.780612 IP6 fe80::14ce:dd9e:c7e6:b58d > ff02::1:ffd8:6ec1: ICMP6, neighbor solicitation, who has fe80::6551:6ff:fed8:6ec1, length 32
09:02:35.464139 IP6 fe80::242:8c6e:362f:9413 > ff02::1:ffd8:6ec1: ICMP6, neighbor solicitation, who has fe80::6551:6ff:fed8:6ec1, length 32
09:02:36.480786 IP6 fe80::242:8c6e:362f:9413 > ff02::1:ffd8:6ec1: ICMP6, neighbor solicitation, who has fe80::6551:6ff:fed8:6ec1, length 32
09:02:38.117641 IP6 fe80::6651:6ff:fed8:6ec1 > fe80::de15:c8ff:fe38:8de6: ICMP6, neighbor solicitation, who has fe80::de15:c8ff:fe38:8de6, length 32
09:02:38.118922 IP6 fe80::de15:c8ff:fe38:8de6 > fe80::6651:6ff:fed8:6ec1: ICMP6, neighbor advertisement, tgt is fe80::de15:c8ff:fe38:8de6, length 24
09:02:39.449018 IP6 fe80::242:8c6e:362f:9413 > ff02::1:ffd8:6ec1: ICMP6, neighbor solicitation, who has fe80::6551:6ff:fed8:6ec1, length 32
09:02:40.450831 IP6 fe80::242:8c6e:362f:9413 > ff02::1:ffd8:6ec1: ICMP6, neighbor solicitation, who has fe80::6551:6ff:fed8:6ec1, length 32
09:02:41.464120 IP6 fe80::242:8c6e:362f:9413 > ff02::1:ffd8:6ec1: ICMP6, neighbor solicitation, who has fe80::6551:6ff:fed8:6ec1, length 32

Was ich so deute, dass das, was in IPv4 ARP-Requests (grob) entsprechen, durchaus dort ankommen. Grundsätzliche Konnektivität ist da, wobei ich eben nicht weiß, wie es danach weitergehen müsste. neighborhood advertisement vom Zielhost, wie es der Router zwischendrin macht?

[mat6937]

Aber wieso funktioniert dann der direkte Aufruf mit dig?

Er funktioniert doch nicht. Das sind doch zwei verschiedene IPv6-Adressen.

Code: Alles auswählen

fe80::6651:6ff:fed8:6ec1

vs.

Code: Alles auswählen

fe80::6551:6ff:fed8:6ec1

Wenn sich die IPv6-Adresse ändert, sollte auch der Eintrag in der resolv.conf geändert werden.

[JTH]

Das sind doch zwei verschiedene IPv6-Adressen.

Oh, scharfes Auge! Ich markier den Unterschied mal:

Code: Alles auswählen

fe80::6651:6ff:fed8:6ec1
fe80::6551:6ff:fed8:6ec1
       ^

[TRex]

Danke

edit: kaum in der fritzbox eingetragen, landet es auch in der resolv.conf und es funktioniert. IPv6 stellt höhere Anforderungen an Gedächtnis und Aufmerksamkeit der Verwender...

[cosinus]

Danke

edit: kaum in der fritzbox eingetragen, landet es auch in der resolv.conf und es funktioniert. IPv6 stellt höhere Anforderungen an Gedächtnis und Aufmerksamkeit der Verwender...

Für DNS ist es doch egal, ob du da den Server per v4 oder v6 fragst. Der gibt dir den richtigen DNS-Record. Und eben sowohl die Auflösung zu v4 und v6 (falls vorhanden).

[mat6937]

Für DNS ist es doch egal, ob du da den Server per v4 oder v6 fragst.

Egal ist es nur dann, wenn beides auch funktioniert (d. h., auch der v6-DNS-Server erreichbar ist). Was beim TE aber nicht der Fall war:

Code: Alles auswählen

$ dig +short -6 google.com
;; communications error to fe80::6551:6ff:fed8:6ec1%2#53: timed out
;...
;; no servers could be reached

[cosinus]

Ich meinte egal hinsichtlich der IPv6-Konnektivität zum Internet. Mein Rechner braucht meinen internen DNS-Server wie zB pihole ja nur per IPv4 zu befragen ohne dass ich da eine IPv6-Einschränkung beim Surfen hätte.

[TRex]

Das ist korrekt, ich hätte das Router Advertisement der fritzbox auch deaktivieren können, ohne irgendwelche Nachteile zu haben.

[cosinus]

Das ist korrekt, ich hätte das Router Advertisement der fritzbox auch deaktivieren können, ohne irgendwelche Nachteile zu haben.

Ja, das meinte ich aber nicht. Wenn du RA abschaltest, dann bekommst du ja keine IPv6-Adresse mehr, zumindest nicht automatisch (SLAAC).
Ich meinte das ja so, dass es egal ist, ob ich meinen DNS-Server via v4 oder v6 frage, welche IPs eine Domain hat.

[mat6937]

Z. B. so:

Code: Alles auswählen

dig aaaa -4 google.com +short

und so

Code: Alles auswählen

dig a -6 google.com +short

[TRex]

Das ist korrekt, ich hätte das Router Advertisement der fritzbox auch deaktivieren können, ohne irgendwelche Nachteile zu haben.

Ja, das meinte ich aber nicht. Wenn du RA abschaltest, dann bekommst du ja keine IPv6-Adresse mehr, zumindest nicht automatisch (SLAAC).
Ich meinte das ja so, dass es egal ist, ob ich meinen DNS-Server via v4 oder v6 frage, welche IPs eine Domain hat.

Schon klar, das meinte ich auch nicht - sondern das RA spezifisch zum DNS-Server. Siehe:

[cosinus]

Ach das meinst du
Das muss ich nochmal bei mir checken, weil ich nen pihole im Einsatz hab und da wär es ungünstig wenn hinterrrücks doch der Router für DNS genutzt wird.