iT邦幫忙

0

Fortigate 設定ipv6 DHCP6無法運作,電腦無法連到internal gateway

您好,我設備是Fortigate 92D運行Fortios 6.0.4與Fortios 5.4,在這兩個系統版本都有遇到問題,我設定好IPv6與DHCP6後電腦端無法透過DHCP6取得IPv6的IP,但可以透過slaac取得一組IPv6的IP,若我自行設定IPv6的IP到網路卡後電腦也無法ping到internal gateway,也無法連到外部網路,但是Fortigate上自己ping internal gateway 與 外部網路卻可以成功ping,我的設定如下,可否麻煩幫我看看是哪裡設定錯誤了?
wan1:
config system interface
edit "wan1"
set vdom "root"
set ip 211...*** 255.255.255.0
set type physical
set estimated-upstream-bandwidth 40000
set estimated-downstream-bandwidth 100000
set role wan
set snmp-index 1
config ipv6
set ip6-address 2001:b030:
:
**::1/64
end
next
end

internal:
config system interface
edit "internal"
set vdom "root"
set ip 192.168.1.1 255.255.255.0
set allowaccess ping https ssh http fgfm capwap
set type hard-switch
set device-identification enable
set device-identification-active-scan enable
set role lan
set snmp-index 5
config ipv6
set ip6-address 2001:b030:2113:a300::1/64
set ip6-allowaccess ping https ssh http fgfm capwap
set dhcp6-information-request enable
set ip6-send-adv enable
set ip6-other-flag enable
config ip6-prefix-list
edit 2001:b030:2113:a300::/64
set autonomous-flag enable
set onlink-flag enable
next
end
end
next
end

dhcp6:
config system dhcp6 server
edit 1
set lease-time 86400
set subnet 2001:b030:2113:a300::/64
set interface "internal"
config ip-range
edit 1
set start-ip 2001:b030:2113:a300::2
set end-ip 2001:b030:2113:a300::200
next
end
set dns-server1 2001:b000:168::1
set dns-server2 2001:b000:168::2
set dns-server3 2001:4860:4860::8888
next
end

max8154 iT邦新手 5 級 ‧ 2019-01-16 15:13:42 檢舉
謝謝各位的回答,我有查到原因了,設定如上並沒有錯,但電腦抓不到的原因是因為92D當初有個BUG所以fotiOS 5.4後有預設開啟 hw-switch-ether-filter當開啟後只允許ARP、IPv4和VLAN等封包通過來避免STP loop ,這資料在6.0.3Release Note有提到,將此global變數設定為disable就可以正常通過IPv6封包DHCPv6皆正常了!!

2 個回答

0
mytiny
iT邦大師 1 級 ‧ 2019-01-16 14:13:37
最佳解答

Fortigate 92D是中華電信的專賣機種
相信他們一定能解答樓主的疑惑,呵呵

其實使用IPv6用固定IP的方式會比較簡單
門神JanusLin大所提供的方式就是如此
各家設備應該都差不多
樓主記得再去補一下靜態路由設定就好
IPv6的世界很少用NAT
而且如果對方沒有IPv6也會不能連通

重點是如果要使用IPv6 DHCP Server發放
記得要去用指令宣告介面的IPv6廣播功能
及DHCPv6相關的flag啟用

max8154 iT邦新手 5 級 ‧ 2019-01-16 15:14:36 檢舉

謝謝,主要是 hw-switch-ether-filter 被這變數功能擋掉了

我要發表回答

立即登入回答