Windows bezieht Adresse per DHCPv6 trotz RA Stateless Konfiguration

[CoMo]

Hallo,

ich bin im Prozess, meinen neuen OPNSense Router in Betrieb zu nehmen.

Ich habe dem LAN-Interface eine Virtual IP aus dem fd00::/8 zugewiesen und Router Advertisements im Stateless Modus aktiviert. Bedeutet, ich sende AdvOnLink, AdvAutonomous und AdvOtherConfigFlag (für DNS).

Der DHCPv6-Server läuft auch, soll aber nur für DNSv6 und NTPv6 zur Verfügung stehen.

Es wird also kein AdvManagedFlag in den RA-Paketen gesendet.

Das funktioniert soweit einwandfrei, alle (fast 40) Geräte im Netzwerk bauen sich ihre ULA- und Global-Adressen selbst zusammen.

Bis auf den Windows PC. Der bezieht zusätzlich ein Lease per DHCPv6.

Das ist nicht dramatisch, denn ausgehender Traffic geht brav über die Link-Local Adresse meines Routers. Die zusätzliche Adresse ist einfach nur da und global erreichbar. Die stört mich auch erst mal nicht.

Ich würde nur gerne wissen, was hier vor sich geht. Ist das eine Eigenart von Windows, dass die RA-Flags einfach ignoriert werden und Windows einfach eine Adresse anfordert, sobald es einen DHCPv6-Server im Netzwerk findet? Oder habe ich hier doch irgendwas falsch konfiguriert?

Ergänzung (17. Februar 2025)

❯ netsh interface ipv6 show interface "vEthernet (Bridge)"
Parameter für die Schnittstelle "vEthernet (Bridge)"
-------------------------------------------------------------
Schnittstellen-LUID                   : ethernet_32780
Schnittstellenindex                   : 15
Zustand                               : connected
Metrik                                : 15
Link-MTU                              : 1492 Bytes
Erreichbare Zeit                      : 24000 ms
Basiswert für erreichbare Zeit        : 30000 ms
Intervall für die erneute Übertragung : 1000 ms
DAD-Übertragungen                     : 1
Standortpräfixlänge                   : 64
Standort-ID                           : 1
Weiterleitung                         : disabled
Ankündigung                           : disabled
Nachbarsuche                          : enabled
Nachbar-Nichterreichbarkeitserkennung : enabled
Routersuche                           : enabled
Verwaltete Adresskonfiguration        : enabled
Andere zustandsbehaftete Konfiguration  : enabled
Schwacher Host sendet                 : disabled
Schwacher Host empfängt               : disabled
Automatische Metrik verwenden         : enabled
Standardrouten ignorieren             : disabled
Angekündigte Routerlebensdauer        : 1800 Sekunden
Standardroute ankündigen              : disabled
Aktuelles Hoplimit                    : 64
ARPND-Reaktivierungsmuster erzwingen  : disabled
Gerichtete MAC-Reaktivierungsmuster  : disabled
ECN-Funktion                          : application
RA-basierte DNS-Konfiguration (RFC 6106)     : enabled
Koexistenz von DHCP/statischer IP         : enabled

Verwaltete Adresskonfiguration : enabled

scheint hier wohl das Problem zu sein? Muss ich das händisch deaktivieren? Ist das einfach per default aktiv, unabhängig von den RA-Flags?

 

[d2boxSteve]

Soweit ich IPv6 kenne vergibt DHCP dort lediglich die Options, aber keine Adresse. Die Adresse generiert sich jedes Gerät anhand des Router-Advertisments (der linke Teil der Adresse) und mit zuhilfenahme der MAC Adresse (den rechten Teil der Adresse) selbst. Das lässt sich meines Wissen nur durch a) deaktivieren von IPv6 oder b) einstellen einer festen IPv6 Adresse verhindern. So zumindest laut Standard ...

siehe auch: https://www.networkacademy.io/ccna/ipv6/stateless-dhcpv6

Im Übrigen sind fdxxx Adressen nicht global: https://en.wikipedia.org/wiki/Unique_local_address

 

[CoMo]

Ja richtig, mit SLAAC generieren sich die Geräte ihre Adressen selbst. Sowohl die ULA (fdxx) als auch die globale. So möchte ich das ja auch haben.

Trotzdem holt sich Windows noch zusätzlich eine globale Adresse via DHCPv6.

Ergänzung (18. Februar 2025)

Soweit ich IPv6 kenne vergibt DHCP dort lediglich die Options, aber keine Adresse.

Das kommt auf die Router Advertisements an. Wenn Managed oder Assisted, also mit AdvManagedFlag, dann vergibt der DHCPv6-Server auch Adressen. Windows macht das aber einfach so, ohne dass das Flag gesetzt ist.

 

[lukas12342]

Das verhalten kann ich so bestätigen.

• nach dem Erhalt von RA mit (M-Flag: 0, O-Flag: 1)
• Windows DHCPv6 Client

- Information-request (1x mal)
- Solicit mit IA_NA (mehrfach)
- Sever NoAddrAvail (2)

Wenn du also AdvManagedFlag nicht sendest sendest solltes du auch dafür sorgen das Solicit mit IA_NA mit NoAddrAvail fehlschlägt.