Guest User!

You are not Sophos Staff.

[8.980][ANSWERED]How to stop IPv6 from being NAT'ed

Currently my network has a native IPv6 connection.
If I turn MASQ off , the IPv6 still works, good, but IPv4 doesn't, bad.

If I have MASQ on the IPv6 addresses for the internal devices all go out on the same IPv6 address which is the external IPv6 address.

How do I provide IPv4 nat'ing and omit IPv6?

Ian
  • I expect to get my IPv6 aware modem back tomorrow, so I will try your suggestion then.

    Thank you.

    Ian
  • I'm confused.  Will ipv6 dhcp work with v9 natively?  I know it's not working here.

    Owner:  Emmanuel Technology Consulting

    http://etc-md.com

    Former Sophos SG(Astaro) advocate/researcher/Silver Partner

    PfSense w/Suricata, ntopng, 

    Other addons to follow

  • The ASG itself in 9.000 can receive an IPv6 address via stateless (Prefix Advertisement) or stateful (DHCPv6) auto configuration. Probably in 9.1 we will also have support for Prefix delegation, so the ASG will receive a whole subnet (/56 or /48) instead of just one /64 for the WAN interface.

    Cheers
     Ulrich
  • Well pulling dhcp ipv6 from my comcast modem works fine on my desktop but not on my astaro at all...i'l check and see what kind of address i get maybe it's not truly native or whatever.  I'm still learning ipv6....so comcast may not be giving me an actual ip via dhcp it could be the stateless thing..[:)] I'll post back about this once v9 goes GA.

    Owner:  Emmanuel Technology Consulting

    http://etc-md.com

    Former Sophos SG(Astaro) advocate/researcher/Silver Partner

    PfSense w/Suricata, ntopng, 

    Other addons to follow

  • Ok just have a look at the IPv6 log file. It should be logged if its stateless or statefull.
  • nods will do...[:)]

    Owner:  Emmanuel Technology Consulting

    http://etc-md.com

    Former Sophos SG(Astaro) advocate/researcher/Silver Partner

    PfSense w/Suricata, ntopng, 

    Other addons to follow

  • Hi folks,
    the exrtract from my IPv6 log


    2012:07:08-19:35:01 cats-kingdom ipv6_watchdog[4060]: Start of monitoring interface ppp1 (181) 
    2012:07:08-19:35:01 cats-kingdom ipv6_watchdog[4060]: Installing default route via fe80::224:14ff:fe9a:8900 (181) 
    2012:07:08-19:35:01 cats-kingdom ipv6_watchdog[4060]: Installing address 2001:44b8:***x:149a:bd77:9b24[:D]18d:45c8/64 (181)


    Ian
    The last line is the address that IPv6 sites see as my IPv6 PCs/laptops/MAC address.
  • Yes, thats the IPv6 address of the ASG which will be used if NAT/MASQUERADING is enabled.
    As I said, depending on your ISP you can use your /56 prefix only if the ASG requests the prefix via Prefix Delegation...
  • Spent tonight trying to get the modem to work. About 30 minutes on the phone to the ISP tech team. Seems like my IPv6 modem doesn't work properly.
    No delegated address, even when the box is ticked. Lots link local stuff. So for the moment that puts a damper on the exercise.

    Thank you for your patience and guidance.

    Ian M
  • Hi all,
    an update on the modem, found some more configs under open windows. Got the IPv6 address stuff. Still trying to convince the UTM to accept and display the native IPv6 address from the dhcp function on the modem. Does now which is good. Role on v9.1b


    You can try this command on the ASG, but I haven't verified it due missing IPv6 capable provider here [;)]
    chroot /var/sec/chroot-dhcpc /usr/sbin/dhclient6 -P -d -v ethX     

    I did substitute eth1 for ethx.
    The system response is not a directory.

    Ian


    2012:07:21-12:14:47 cats-kingdom ipv6_watchdog[4022]: Starting IPv6 address watchdog 
    2012:07:21-12:15:04 cats-kingdom radvd[6330]: version 1.8.3 started 
    2012:07:21-12:15:07 cats-kingdom ipv6_watchdog[4022]: Start of monitoring interface eth1 (3) 
    2012:07:21-12:15:07 cats-kingdom ipv6_watchdog[4022]: Installing default route via fe80::68xx:2aff:***x:21e6 (3) 
    2012:07:21-12:15:07 cats-kingdom ipv6_watchdog[4022]: Interface eth1 (3) changed RA flags: NONE -> SENT,RCVD,OTHER,READY 
    2012:07:21-12:15:07 cats-kingdom ipv6_watchdog[4022]: Interface eth1 (3) changed type to SLAAC 
    2012:07:21-12:15:07 cats-kingdom ipv6_watchdog[4022]: JSON "eth1", "up", { "gateway6": "fe80::68xx:2aff:***x:21e6"} 
    2012:07:21-12:15:09 cats-kingdom ipv6_watchdog[4022]: Installing address 2001:44b8:***x:2fxx:21b:21ff:fe00:6bc6/64 (3) 
    2012:07:21-12:15:09 cats-kingdom ipv6_watchdog[4022]: JSON "eth1", "up", { "address6": "2001:44b8:***x:2fxx:21b:21ff:fe00:6bc6", "netmask6": "64" }
    The above entries showed up in the IPv6 after the new UTM was put in place along and I think after I ran the command.