KeeneticOS 5.0.4 не работает dns для IPv6

[adun]

KN-1011 5.0.4 получаю от провайдера ipv6, в настройках отключаю получение dns от провайдера и настройках только одного  сегмента включил ipv6 с указанием своего ipv6 dns во внутренней сети.

В итоге dns по ipv6 не работает:

C:\Users\*****>nslookup ya.ru fd**:****:****::*
DNS request timed out.
    timeout was 2 seconds.
╤хЁтхЁ:  UnKnown
Address:  fd**:****:****::*

DNS request timed out.
    timeout was 2 seconds.
DNS request timed out.
    timeout was 2 seconds.
DNS request timed out.
    timeout was 2 seconds.
DNS request timed out.
    timeout was 2 seconds.
*** Превышено время ожидания запроса UnKnown

Для IPv4 с аналогичными настройками все гуд:

C:\Users\****>nslookup ya.ru 192.168.***.*
╤хЁтхЁ:  ***.**
Address:  192.168.***.*

Не заслуживающий доверия ответ:
╚ь :     ya.ru
Addresses:  2a02:6b8::2:242
          77.88.55.242
          5.255.255.242
          77.88.44.242

По tcpdump видно что трафик застревает где-то в ядре кинетика.

Немного поразобравшись заметил интересную особенность в настройках iptables через opkg.

Для ipv4 в цепочке _NDM_HOTSPOT_DNSREDIR куда попадает весь трафик:

-A _NDM_HOTSPOT_DNSREDIR -d 192.168.***.1/32 -i br0 -p udp -m mark --mark 0xffffaaa -m pkttype --pkt-type unicast -m udp --dport 53 -j REDIRECT --to-ports 41100
-A _NDM_HOTSPOT_DNSREDIR -d 192.168.***.1/32 -i br0 -p tcp -m mark --mark 0xffffaaa -m pkttype --pkt-type unicast -m tcp --dport 53 -j REDIRECT --to-ports 41100

Видно что в фильтре присутствует адрес кинетика 192.168.***.1/32, т.е. трафик адресован ему (dns перенаправляет на локальный адрес и порт 41100).

А вот для ipv6:

-A _NDM_HOTSPOT_DNSREDIR -i br0 -p udp -m mark --mark 0xffffaaa -m pkttype --pkt-type unicast -m udp --dport 53 -j DNAT --to-destination [fe80::****:****:****:9d]:41100
-A _NDM_HOTSPOT_DNSREDIR -i br0 -p udp -m mark --mark 0xffffaaa -m pkttype --pkt-type unicast -m udp --dport 53 -j REDIRECT --to-ports 41100
-A _NDM_HOTSPOT_DNSREDIR -i br0 -p tcp -m mark --mark 0xffffaaa -m pkttype --pkt-type unicast -m tcp --dport 53 -j DNAT --to-destination [fe80::****:****:****:9d]:41100
-A _NDM_HOTSPOT_DNSREDIR -i br0 -p tcp -m mark --mark 0xffffaaa -m pkttype --pkt-type unicast -m tcp --dport 53 -j REDIRECT --to-ports 41100

Тут весь трафик dns направляется на внутренний ipv6 адрес кинетика, который не может отрезолвить запрос.

Вручную добавив в цепочку _NDM_HOTSPOT_DNSREDIR:

ip6tables -t nat -I _NDM_HOTSPOT_DNSREDIR 1 -i br0 -p udp --dport 53 -j ACCEPT

Получаем:

C:\Users\user>nslookup ya.ru fd**:****:****::*
╤хЁтхЁ:  UnKnown
Address:  fd**:****:****::*

Не заслуживающий доверия ответ:
╚ь :     ya.ru
Addresses:  2a02:6b8::2:242
          77.88.44.242
          5.255.255.242
          77.88.55.242

Еще конечно уточнение, что в вебе на кинетике нельзя добавить правил МЭ для адресов IPv6, приходится так же через iptables:

ip6tables -I FORWARD 1 -i br0 -o br1 -j ACCEPT
ip6tables -I FORWARD 1 -i br1 -o br0 -j ACCEPT

Как итог:

запрос на улучшение - добавить возможность управление МЭ для IPv6

запрос на исправление перенаправления IPv6 dns трафика.

 

 

Edited February 2 by adun