dhcpserver ipv6 下游電腦能拿到ipv6 ip但是卻拿不到閘道

windows server 2012 r2 dhcp fortigate

applepieeasy 2020-07-06 09:25:37 ‧ 2139 瀏覽

各位大佬早安!!
小弟有這個問題是因為他們之前是用gsi的防火牆，最近做防火牆更換，更換成fortigate201E，網路架構都沒更動，只有把舊的防火牆更換成新的防火牆，

網路架構大致上為外網-firewall(Fortigate201E)-switch(底下還有其他一般交換器)-dhcpserver，而server版本為windows2012，dhcp server提供ipv4與ipv6的服務，dhcp ipv4正常(下游電腦拿的到ip、閘道，可以上網)，dhcp ipv6異常(下游電腦拿的到ip，但拿不到閘道，ipv6不通，但是只要手動ipv6的ip以及gateway，ipv6就可以通了)，dhcp server的設定上，ipv6 gateway有指向fortigate201E。

還是說fortigate201E 有需啟動甚麼功能嗎?
或是dhcp server有需要調整甚麼設定嗎?
勞煩各位大佬位小弟解惑了!

小弟附上，他的lan端ipv6資訊如圖，是否有哪些disable的要enable，forti防火牆才能發送RA給下游設備??

看更多先前的討論...收起先前的討論...

mytiny iT邦超人 1 級 ‧ 2020-07-07 11:06:58 檢舉

昨天後來按樓主的架構想通
應該與FortiGate都沒有關係(所以用啥OS版都無關)
因為DHCP非FG201E發
而 Server與PC又都在同一大段
因此問題應該找Switch或Server才是正確方向

applepieeasy iT邦新手 5 級 ‧ 2020-07-07 16:31:27 檢舉

switch 跟廠商確認過後，確認並無設定上的問題，而server的部分，也跟客戶確認過設定，ipv6閘道也確實指向防火牆。小弟想請教，forti當中是否有設定RA的地方，會不會是ra的設定問題呢?

wlhfor1974 iT邦新手 3 級 ‧ 2020-07-09 16:23:42 檢舉

server端跟client端錄封包,看看問題出在那邊

applepieeasy iT邦新手 5 級 ‧ 2020-07-21 16:12:39 檢舉

各位大大下午好!!小弟有新增資訊在上面了，如果各位大佬對這個資訊有甚麼疑惑在跟小弟說!!

登入發表討論

直播研討會

{{ item.channelVendor }} {{ item.webinarstarted }} |

直播中

1 個回答

mytiny

iT邦超人 1 級 ‧ 2020-07-06 09:45:01

最佳解答

猜想樓主是SI
雖說只是把舊的防火牆更換成新的防火牆
但就是看似簡單，實際上是改負責管理整個網路的責任
希望日後大家對於這樣的專案
要有深切的認識

請說明一下現在運行的FortiOS版本
並告知使用DHCP的方式(是relay嗎?)
是有用FortiSwitch還是傳統三層式他牌網路?

在下猜測最可能是因為版本關係
建議樓主升級到最新 OS 6.2.4
但是會有其他狀況，請小心！

回應 12
分享
檢舉

看更多先前的回應...收起先前的回應...

applepieeasy iT邦新手 5 級 ‧ 2020-07-06 10:12:02 檢舉

您好!
小弟是SI沒錯，先回答問題

fortiOS為6.4.0
因為他們整段IP都是同一個網段，所以沒有特別設定RELAY
網路架構 forti201E-unifiswitch(core)-unifiswitch(L2)-SERVER

applepieeasy iT邦新手 5 級 ‧ 2020-07-06 10:18:51 檢舉

他們的電腦拿到的資訊是這樣子
ipv4可以通(他們這台電腦ipv4剛好設定固定ip)，ipv6沒有閘道，但是只要手動設定ipv6 ip以及gateway就可以通了

mytiny iT邦超人 1 級 ‧ 2020-07-06 11:08:16 檢舉

目前測試OS 6.0.X會有IPv6 DHCP的狀況
OS 6.2.x 則 IPv6 DHCP發放正常
OS 6.4.0則不建議使用(在下還沒有測過IPv6)
不然至少也升到OS 6.4.1試試
而IPv4則各版本均正常

提醒樓主有關DHCP snooping設定(雖然可能沒有影響)
如果架構上沒有用到security fabric及DDoS
建議樓主還是改用6.2.4為宜

applepieeasy iT邦新手 5 級 ‧ 2020-07-06 11:17:27 檢舉

從6.2.x就沒辦法了，當時跟廠商討論後，它們的建議是升級，在上個月升級到6.4.0還是不行，而最近釋出的6.4.1，客戶還沒找時間升級

mytiny iT邦超人 1 級 ‧ 2020-07-06 11:31:34 檢舉

從6.2.x就沒辦法了 --> 有點奇怪?

mytiny iT邦超人 1 級 ‧ 2020-07-06 19:21:10 檢舉

再想過一遍後突然發現
"他們整段IP都是同一個網段"
這樣跟Fortigate有啥關係呀??

一下子真是糊塗了
趕快去找一下unifiswitch的問題吧

applepieeasy iT邦新手 5 級 ‧ 2020-07-07 15:03:50 檢舉

(不好意思..剛剛才看到mytiny大，有上面進行一次留言，我在那邊給mytiny回復)

applepieeasy iT邦新手 5 級 ‧ 2020-07-21 16:15:21 檢舉

mytiny大大您好!!
資訊有新增在最上面，也請mytiny大，請多指教了!

mytiny iT邦超人 1 級 ‧ 2020-07-21 18:32:20 檢舉

ip6-send-adv enable

不過樓主怎不建議客戶改由Fortigate發(或relay)
這樣或許比較容易解

applepieeasy iT邦新手 5 級 ‧ 2020-07-22 08:58:28 檢舉

mytiny早安!
因為客戶會希望在不更動原有的架構的時候解決這個問題..，跟mytiny請教一下，ip6-send-adv enable，這一條指令是指把ipv6的資訊廣播開啟，但是他還沒有開啟的時候，下游設備已經能夠拿到ipv6除了gateway之外的所有資訊。我能這樣理解ip6-send-adv是代表開啟RA的功能嗎?(RA可以派發ipv6的gateway)，如果我對這條命令有甚麼誤解，也請mytiny指教!