VPN: IPV6 Leak

Einrichten des lokalen Netzes, Verbindung zu anderen Computern und Diensten.
_ash
Beiträge: 1045
Registriert: 13.05.2005 12:35:02

Re: VPN: IPV6 Leak

Beitrag von _ash » 03.12.2019 16:23:59

unitra hat geschrieben: ↑ zum Beitrag ↑
03.12.2019 00:55:59
Versuche mal die Schnittstellen explizit mit dem Namen zu konfigurieren z.B. eth0, wlan0
Das hat leider nicht geholfen.

_ash
Beiträge: 1045
Registriert: 13.05.2005 12:35:02

Re: VPN: IPV6 Leak

Beitrag von _ash » 03.12.2019 16:24:44

mat6937 hat geschrieben: ↑ zum Beitrag ↑
02.12.2019 19:15:59
Versuch auch mal in der {Unit]-Section zusätzlich mit der Zeile:

Code: Alles auswählen

Requires=systemd-modules-load.service
Leider kein Erfolg.

Noch mehr Ideen?

mat6937
Beiträge: 1450
Registriert: 09.12.2014 10:44:00

Re: VPN: IPV6 Leak

Beitrag von mat6937 » 03.12.2019 18:58:09

_ash hat geschrieben: ↑ zum Beitrag ↑
03.12.2019 16:24:44
Leider kein Erfolg.

Noch mehr Ideen?
Hast Du getestet ob ein Restart des sysctl:

Code: Alles auswählen

systemctl restart systemd-sysctl.service
erfolgreich ist?
Teste mal auch mit der persistenten Einstellung:

Code: Alles auswählen

net.ipv4.ip_nonlocal_bind = 1
in der /etc/sysctl.conf (oder gleichwertig).

Benutzeravatar
ingo2
Beiträge: 821
Registriert: 06.12.2007 18:25:36
Lizenz eigener Beiträge: GNU Free Documentation License
Wohnort: Wo der gute Riesling wächst

Re: VPN: IPV6 Leak

Beitrag von ingo2 » 04.12.2019 17:57:54

Habe den Thread erst jetzt gelesen.
Warum macht ihr das denn so umständlich, um IPv6 generell zu unterbinden, es geht doch hier nur um den Bypass beinVerwendung eines VPN-Tunnels.

Ich habe das ganz einfach gelöst, indem IPv6 erst bei Aufbau des Tunnels angeschaltet wird und bei Beendigung wieder an (das letzte klappt leider vollständig erst nach einem Reboot).

Doku dazu http://linux.die.net/man/8/networkmanager

Neues Script erstellt:

Code: Alles auswählen

 /etc/NetworkManager/dispatcher.d/02noipv6onvpn
 
#!/bin/sh -e
# Script to disable IPv6 during VPN-connections
# Place in /etc/NetworkManager/dispatcher.d/
if [ "$2" = "vpn-up" ]; then
   echo 1 > /proc/sys/net/ipv6/conf/all/disable_ipv6
fi
if [ "$2" = "vpn-down" ]; then
   echo 0 > /proc/sys/net/ipv6/conf/all/disable_ipv6
fi
Getestet mit meinem OpenVPN, und läuft seit Jessie bis heute (Buster) problemlos auf meinem Laptop (T520).

Noch ein Tipp:

Ich leite auch die DNS-Anfragen durch den Tunnel auf meinen "unbound recursive resolver".
Damit auch DNS-Abfragen durch den Tunnel laufen, muß die /etc/resolv.conf angepaßt werden. Das erledigt in meiner Konfiguration der NetworkManager:

Die VPN-Verbindung "VPN-Home" im NetworkManager editiert und unter IPv4-Einstellungen -> Zusätzliche DNS-Server
den VPN-Endpunkt (der Server) "10.8.0.1" eingetragen.
Das klappt! Der NetworkManager setzt die Adresse dann als erste in die resolv.conf.

_ash
Beiträge: 1045
Registriert: 13.05.2005 12:35:02

Re: VPN: IPV6 Leak

Beitrag von _ash » 04.12.2019 19:11:34

mat6937 hat geschrieben: ↑ zum Beitrag ↑
03.12.2019 18:58:09
Hast Du getestet ob ein Restart des sysctl:

Code: Alles auswählen

systemctl restart systemd-sysctl.service
erfolgreich ist?
Ja, das funktioniert und lädt die Werte.
Teste mal auch mit der persistenten Einstellung:

Code: Alles auswählen

net.ipv4.ip_nonlocal_bind = 1
in der /etc/sysctl.conf (oder gleichwertig).
Das bringt leider keine Änderung. Noch mehr Ideen?

TomL
Beiträge: 4595
Registriert: 24.07.2014 10:56:59

Re: VPN: IPV6 Leak

Beitrag von TomL » 04.12.2019 19:16:45

Wie verändert sich eigentlich die Ausgabe von vor und nach der Aktion? Wenn ich das Statement

Code: Alles auswählen

sysctl -w net.ipv6.conf.all.disable_ipv6=1
absende,ist IPv6 definitiv sofort weg.
vg, Thomas

mat6937
Beiträge: 1450
Registriert: 09.12.2014 10:44:00

Re: VPN: IPV6 Leak

Beitrag von mat6937 » 04.12.2019 19:50:49

_ash hat geschrieben: ↑ zum Beitrag ↑
04.12.2019 19:11:34
mat6937 hat geschrieben: ↑ zum Beitrag ↑
03.12.2019 18:58:09
Hast Du getestet ob ein Restart des sysctl:

Code: Alles auswählen

systemctl restart systemd-sysctl.service
erfolgreich ist?
Ja, das funktioniert und lädt die Werte.
Na dann weißt Du doch was Du machen kannst (... als workaround). Eine timer-unit schreiben, die diese service-unit z. B. 30 Sekunden nach dem booten, restartet.

mat6937
Beiträge: 1450
Registriert: 09.12.2014 10:44:00

Re: VPN: IPV6 Leak

Beitrag von mat6937 » 04.12.2019 20:25:44

TomL hat geschrieben: ↑ zum Beitrag ↑
04.12.2019 19:16:45
Wenn ich das Statement

Code: Alles auswählen

sysctl -w net.ipv6.conf.all.disable_ipv6=1
absende,ist IPv6 definitiv sofort weg.
Das ist beim TE auch der Fall:
Ein Schritt weiter: es scheint, als ob die sysctl.conf beim Booten nicht ausgelesen wird. Wenn ich manuell die Werte auslesen lassen (systctl -p), ist ipv6 deaktiviert, beim Neustart wieder da.
Das Problem ist die Ausführung via service-unit. Da stellt sich auch die Frage, welche Eintragungen in der config der sysctl werden via service-unit, evtl. noch nicht aktiviert werden? D. h. man kann sich nicht darauf verlassen und sollte diese service-unit restarten.

mat6937
Beiträge: 1450
Registriert: 09.12.2014 10:44:00

Re: VPN: IPV6 Leak

Beitrag von mat6937 » 05.12.2019 11:23:13

_ash hat geschrieben: ↑ zum Beitrag ↑
02.12.2019 17:36:09
Ein Schritt weiter: es scheint, als ob die sysctl.conf beim Booten nicht ausgelesen wird. Wenn ich manuell die Werte auslesen lassen (systctl -p), ist ipv6 deaktiviert, beim Neustart wieder da. Eine Idee, an was das liegen könnte?
Poste mal sofort nach dem Booten, die Ausgabe von:

Code: Alles auswählen

sysctl net.ipv6.conf.all.disable_ipv6
Führe danach:

Code: Alles auswählen

sysctl --system -p
aus und poste danach die Ausgaben von:

Code: Alles auswählen

sysctl net.ipv6.conf.all.disable_ipv6
sysctl --system -p | grep -i applying
In welcher Datei hast Du den Eintrag:

Code: Alles auswählen

net.ipv6.conf.all.disable_ipv6 = 1
? Mit "sysctl -p" wird nur die Datei "/etc/sysctl.conf" ausgelesen und mit "sysctl --system -p" werden alle sysctl-wirksamen Dateien (d. h. auch die "/<...>/sysctl.d/<*.conf>"-Dateien) ausgelesen.

Antworten