iT邦幫忙

0

dhcpserver ipv6 下游電腦能拿到ipv6 ip但是卻拿不到閘道

各位大佬早安!!
小弟有這個問題是因為他們之前是用gsi的防火牆,最近做防火牆更換,更換成fortigate201E,網路架構都沒更動,只有把舊的防火牆更換成新的防火牆,

網路架構大致上為 外網-firewall(Fortigate201E)-switch(底下還有其他一般交換器)-dhcpserver,而server版本為windows2012,dhcp server提供ipv4與ipv6的服務,dhcp ipv4正常(下游電腦拿的到ip、閘道,可以上網),dhcp ipv6異常(下游電腦拿的到ip,但拿不到閘道,ipv6不通,但是只要手動ipv6的ip以及gateway,ipv6就可以通了),dhcp server的設定上,ipv6 gateway有指向fortigate201E。

還是說fortigate201E 有需啟動甚麼功能嗎?
或是dhcp server有需要調整甚麼設定嗎?
勞煩各位大佬位小弟解惑了!

小弟附上,他的lan端ipv6資訊如圖,是否有哪些disable的要enable,forti防火牆才能發送RA給下游設備??https://ithelp.ithome.com.tw/upload/images/20200721/20121627xZr9tjAons.png

看更多先前的討論...收起先前的討論...
mytiny iT邦大師 1 級 ‧ 2020-07-07 11:06:58 檢舉
昨天後來按樓主的架構想通
應該與FortiGate都沒有關係(所以用啥OS版都無關)
因為DHCP非FG201E發
而 Server與PC又都在同一大段
因此問題應該找Switch或Server才是正確方向
switch 跟廠商確認過後,確認並無設定上的問題,而server的部分,也跟客戶確認過設定,ipv6閘道也確實指向防火牆。小弟想請教,forti當中是否有設定RA的地方,會不會是ra的設定問題呢?
server端跟client端錄封包,看看問題出在那邊
各位大大下午好!!小弟有新增資訊在上面了,如果各位大佬對這個資訊有甚麼疑惑在跟小弟說!!

1 個回答

1
mytiny
iT邦大師 1 級 ‧ 2020-07-06 09:45:01
最佳解答

猜想樓主是SI
雖說只是把舊的防火牆更換成新的防火牆
但就是看似簡單,實際上是改負責管理整個網路的責任
希望日後大家對於這樣的專案
要有深切的認識

請說明一下現在運行的FortiOS版本
並告知使用DHCP的方式(是relay嗎?)
是有用FortiSwitch還是傳統三層式他牌網路?

在下猜測最可能是因為版本關係
建議樓主升級到最新 OS 6.2.4
但是會有其他狀況,請小心!

看更多先前的回應...收起先前的回應...

您好!
小弟是SI沒錯,先回答問題

  1. fortiOS為6.4.0
  2. 因為他們整段IP都是同一個網段,所以沒有特別設定RELAY
  3. 網路架構 forti201E-unifiswitch(core)-unifiswitch(L2)-SERVER

他們的電腦拿到的資訊是這樣子
ipv4可以通(他們這台電腦ipv4剛好設定固定ip),ipv6沒有閘道,但是只要手動設定ipv6 ip以及gateway就可以通了
https://ithelp.ithome.com.tw/upload/images/20200706/20121627cHMAEmd1va.jpg

mytiny iT邦大師 1 級 ‧ 2020-07-06 11:08:16 檢舉

目前測試OS 6.0.X會有IPv6 DHCP的狀況
OS 6.2.x 則 IPv6 DHCP發放正常
OS 6.4.0則不建議使用(在下還沒有測過IPv6)
不然至少也升到OS 6.4.1試試
而IPv4則各版本均正常

提醒樓主有關DHCP snooping設定(雖然可能沒有影響)
如果架構上沒有用到security fabric及DDoS
建議樓主還是改用6.2.4為宜

從6.2.x就沒辦法了,當時跟廠商討論後,它們的建議是升級,在上個月升級到6.4.0還是不行,而最近釋出的6.4.1,客戶還沒找時間升級

mytiny iT邦大師 1 級 ‧ 2020-07-06 11:31:34 檢舉

從6.2.x就沒辦法了 --> 有點奇怪?

mytiny iT邦大師 1 級 ‧ 2020-07-06 19:21:10 檢舉

再想過一遍後突然發現
"他們整段IP都是同一個網段"
這樣跟Fortigate有啥關係呀??

一下子真是糊塗了
趕快去找一下unifiswitch的問題吧

(不好意思..剛剛才看到mytiny大,有上面進行一次留言,我在那邊給mytiny回復)

mytiny大大您好!!
資訊有新增在最上面,也請mytiny大,請多指教了!

mytiny iT邦大師 1 級 ‧ 2020-07-21 18:32:20 檢舉

ip6-send-adv enable

不過樓主怎不建議客戶改由Fortigate發(或relay)
這樣或許比較容易解

mytiny早安!
因為客戶會希望在不更動原有的架構的時候解決這個問題..,跟mytiny請教一下,ip6-send-adv enable,這一條指令是指把ipv6的資訊廣播開啟,但是他還沒有開啟的時候,下游設備已經能夠拿到ipv6除了gateway之外的所有資訊。 我能這樣理解ip6-send-adv是代表開啟RA的功能嗎?(RA可以派發ipv6的gateway),如果我對這條命令有甚麼誤解,也請mytiny指教!

mytiny iT邦大師 1 級 ‧ 2020-07-22 11:33:54 檢舉

手冊說明如下:
ip6-send-adv enable :
Enable sending advertisements about this interface.

註:IPv6 取得 IP 的另外一種方式是 RA (Router Advertisement)

謝謝mytiny大!!enable之後,問題就解決了!!

我要發表回答

立即登入回答