Pihole 5 IPv6 GroupFilter

Hey, eventuell könnt ihr mir helfen.

Mein Netzwerk hat IPv6, jeder Client bekommt ULAs. Da sich diese des öfteren verändern habe ich für ein und dasselbe Gerät circa 4 IPv6 Adressen die wechseln. Ich kann so sehr schlecht die Clienten in die Gruppen setzen. Gibt es eine Möglichkeit mit dem DHCP des piholes die ULAs für die Geräte Fest zu setzen? Für IPv4 gibt es das ja. Ich habe keinen Zugriff auf alle Geräte des Netzwerkes um die IPs manuell zu setzen. Bei mobilen Geräten macht das auch wenig Sinn.

Nein.

Im Gegensatz zu IPv4 werden IPv6-Adressen vom Gerät selbst berechnet, genauer gesagt aus einem (eventuell vom Router bezogenen) Präfix und einem vom Gerät berechneten Interface Identifier zusammengesetzt.

Im Standard-Fall ermittelt ein Gerät mindestens zwei IPv6-Adressen: Eine link-lokale (fe80::/10) und eine globale, letztere entweder als öffentliche Adresse (2000::/3) oder als private ULA (fd00::/8) - je nachdem, welche Präfixe Dein Router verteilt, auch beide.

Verwaltungstechnisch lässt sich nur auf das Präfix unmittelbar Einfluss nehmen, in einem typischen Heimnetzwerk sogar nur auf das ULA-Präfix.

Jetzt könnte man zwar über Stateful DHCPv6 analog zu IPv4 feste IPv6-Adressen im Heimnetz vergeben. Diese Adressen würden vom Gerät dann aber zusätzlich verwendet, d.h. die Berechnung der übrigen IPv6-Adressen würde trotzdem erfolgen.

Bei aktivierten Privacy Extensions kommen zudem noch weitere temporäre IPv6-Adressen hinzu, zumindest für die öffentlichen Adressen. Für ULA-Adressen machen Privacy Extensions allerdings kaum Sinn.

Wenn sich nun der Interface Identifier Deiner ULA-Adressen regelmässig ändert, sind also wahrscheinlich Privacy Extensions im Spiel.

Dies liesse sich vielleicht direkt auf einem Gerät beeinflussen, z.B. indem Du Privacy Extensions nur für ULA-Adressen auf dem Gerät deaktivierst - für die öffentlichen 2000:: er-Adressen sind PE durchaus sinnvoll.

Eine andere Möglichkeit wäre, die Verwendung von IPv6 in Deinem Netzwerk zu deaktivieren, sofern Dein Router dies unterstützt.

Vielen Dank für die ausführliche Antwort :slight_smile: ich werde wohl IPv6 deaktivieren. Vielleicht kann pihole ja irgendwann die Clienten zusammenfassen anhand der Hostnames oder MAC Adressen oder so, so dass die sich ändernden Adressen keine Auswirkungen auf die Gruppenfunktionen haben.

Moin,

ich stehe gerade vor dem gleichen Problem und habe es wie folgt gelöst:

Als DNS-Server habe ich auf dem Client die lokale IPv6 Adresse des Pi-Hole eingetragen.
Diese steht nicht bei Settings => System => Network Informationen sondern lässt sich mit einem

ip addr

ermitteln. Die Adresse beginnt immer mit

fe80::

und ist die Verbindungslokale IPv6-Adresse
Der Client greift dann auch mit seiner Verbindungslokale IPv6-Adresse auf den Pi-Hole zu und man kann die Adresse als Client hinzufügen.

Der Clou ist - so hoffe ich - das sich diese lokale Adresse nie ändert. Zumindest ist diese sowohl auf den Pi-Hole als auch auf meinem Rechnern seit allen Reboots (und seit dem ich darauf geachtet habe) immer gleich.

Die Verwendung der link-lokalen Adresse ist mit einer Einschränkung verbunden:
Sie ist ausschließlich für Geräte erreichbar, die an dasselbe Netzwerksegment gebunden sind (bei einer Fritzbox sind das garantiert alle Geräte, die über WLAN oder LAN direkt mit dieser verbunden sind).

Zudem wird der Interface Identifier -wie erwähnt- immer vom Client berechnet, d.h. auch die link-lokale IPv6 kann theoretisch Privacy Extensions verwenden, die sich dann ändern.

Daher sollte man darauf achten, dass man die EUI-64-Adresse verwendet.
Da diese die MAC-Adresse beinhaltet, wird sie sich nur ändern, wenn man den Netzwerkadapter ändert (oder wechselt).
Sie lässt sich an der charakteristischen ff:fe-Ziffernfolge zwischen dem sechsten und siebten Hex-Ziffernblock der Adresse erkennen.
Gibt es überhaupt nur eine link-lokale IPv6-Adresse für ein Interface, diese sieht aber nicht nach EUI-64 aus, dann handelt es sich wahrscheinlich um eine stabile private Adresse. Diese kann ebenfalls verwendet werden, ist aber nicht auf Anhieb von PE-Adressen zu unterscheiden.

Wenn man das beachtet und mit der Beschränkung auf ein Netzwerksegment leben kann, ist der Vorschlag von BerHerJohLin durchaus einen Versuch wert. :+1: