スキップしてメイン コンテンツに移動

IPv6 Linux router with NDP proxy

更新：2024/07/07 Debian 12のオリジナルndppdパッケージで下記設定にてndppdが機能することを確認しました。
----------------------------------------------------------------
LinuxでIPv6 routerを設定しました。

プロバイダーから提供されたルータ機能付きのONUの配下に、パブリックなIPv6サブネットを構成できるルータを設定した時のメモです。

プロバイダはNuro光 で、G2Vというサービスです。通常、このサービスでは、ルータ付きのONU（図のONU+RT）には、IPv6で接続する場合、クライアントを直接接続する事はできます。しかし、図のように内側にさらにLinux Routerを接続し、eth1以下のClinet側サブネットにPublicなIPv6 addressを付与するには、NDP proxyの設定が必要でした。

構成はおよそ以下の通りです。（図再差し替え：2020/07/04）

1. 問題点と対策方針

今回来たONU+RTはZTE社のF660Aという物でした。このルータには、/56のアドレスが付与され、なおかつ、「プレフィックスデリゲーション」という項目があるのですが、設定しても、RA(ルーターアドバタイズ)は/64しか降りてこず、また、DHCPv6でも/64しか取得できません。つまり、このG2Vというサービスでは、DHCPv6-PDでも、/64しかすら降りてきません。(なお、このサービスとしては機能的にはこれが正常です。)

この制約を説明するとおよそこのような感じです。

26xx:1234:5678:9A00::/56 ←　ONU+RTに払い出されたアドレス
26xx:1234:5678:9A00::/64 ←　ONU+RTから払い出されるアドレス。

つまり、この設定では、64-56=8bit以下のサブネットを構成できるルータを別途接続することができません。

そこで調べたところ、「スタティックプレフィックス」という項目があり、これだと、(2024/07/06訂正)

26xx:1234:5678:9A00::/56 ←　ONU+RTに払い出された(委譲された)アドレス
26xx:1234:5678:9A10::/60 ←　Linux RT(eth1)へ払い出される(委譲される)アドレス。

が、設定できそうでした。

しかし、この設定でも、Linux RTの eth0を26xx:1234:5678:9A10::/60のルートとしてONU+RTは認識しません。

そこでログを見たところ、やはり、F660Aは内部的にはONU+RTのイーサネットデバイスを26xx:1234:5678:9A10::/60のルートとして設定しているだけでした。

つまり、26xx:1234:5678:9A10::/60のルートとするには、Linux RTの eth0に、eth1配下にあるクライアントの「NDP Proxy」 (IPv4でいうProxy ARP)を設定すれば良いのでは？という方針を立てました。結論から言えばこれでOKでした。

最終的には、図のような構成が可能になります。(2024/07/06訂正)
(例：15*15=225サブネット)

2. ONU+RT(OUTER ROUTER)の設定
(再訂正:2024/07/06) これは、前述の「スタティックプレフィックス」を追加するだけです。

ここでは
26xx:1234:5678:9A10::/60
を追加したものとします。RAとDHCPv6を使用する設定にはしません。（こうすることで、ONU+RTには複数のルータを接続できるようになります。）


3. Linux RTの設定
3-1. アドレス・デフォルトルートの設定とPromiscuousモードの設定

シェルコマンドでの設定相当分は、以下の通りです。( 再訂正:2024/07/06)

#/bin/sh
ip -6 addr add 26xx:1234:5678:9A00::1/56 dev eth0
ip -6 addr add 26xx:1234:5678:9A10::1/60 dev eth1
ip -6 route add default via fe80::1 dev eth0

ifconfig eth0 promisc
ifconfig eth1 promisc

3-2. NDP PROXY デーモン(ndppd)の設定 (再訂正:2024/07/06)

/etc/ndppd.conf

proxy eth0 {
  router no
  autowire yes
  keepalive yes
  retries 3
  rule 26xx:1234:5678:9A10::/60 {
    static
  }
}

proxy eth1 {
  router yes
  autowire yes
  keepalive yes
  retries 3
  rule 26xx:1234:5678:9A00::/56 {
    iface eth0
  }
}

3-3. radvdの設定

/etc/radvd.conf (RNDSSは、ONU+RTで確認できます)

interface eth1 {
  AdvSendAdvert on;
  AdvManagedFlag off;
  AdvOtherConfigFlag off;
  AdvLinkMTU 1500;

  RDNSS 26xx:ABC::A 26xx:ABC::B {
  };

  prefix  26xx:1234:5678:9A10::/64 {
    AdvOnLink on;
    AdvAutonomous on;
    AdvRouterAddr on;
  };
};

4. /etc/sysctl.confの設定
net.ipv6.conf.all.forwarding=1
net.ipv6.conf.default.forwarding=1

net.ipv6.conf.eth0.accept_ra=0

net.ipv6.conf.all.autoconf=0
net.ipv6.conf.default.autoconf=0
net.ipv6.conf.eth0.autoconf=0

#2020/07/02削除
net.ipv6.conf.all.router_solicitations=1
net.ipv6.conf.all.proxy_ndp=1
net.ipv6.conf.default.proxy_ndp=1
#2020/07/02追記
net.ipv6.conf.eth0.proxy_ndp = 1
net.ipv6.conf.eth1.proxy_ndp = 1

Linux Routerの基本的な設定は以上です。設定出来たら再起動してください。

5. Clientの設定。
Windowsの場合、特に設定は不要です。

追記(2020/4/3)：
6. IPv4の設定について
IPv4のスタティックルートも、IPv6と同じく、660Aのルータには設定項目がありませんので、Inner router以下から外部に通信させるには、Inner routerのeth0(外側)をマスカレードさせます。具体的には、660AのIPv4アドレスは192.168.1.1/24なのでInner routerのアドレスをたとえば192.168.1 254にして、iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE とすると、inner router 以下も外部にIPv4で通信できるようになります。投稿時点からそのようにしていたのですが、追記しました。

追記(2024/7/6)：
7. その他
本稿には記載していませんが、子ルータのLinux Routerにdhcpv6サーバーを導入することで、サブルータ(3段目、孫ルータ)へプレフィックス委譲を行う事ができます。IPv4についてはdhcpv4サーバを設定する必要があります。また、ルートの設定が手動では大変なので、Linux Router（子ルータ2段目および孫ルータ3段目)はripng/ripを使うとよいと思います。ただし、Nuro光の親ルータがIPv4スタティックルートを設定できない上、前述の様に子ルータのeth0(wan側)でマスカレードしているので、子ルータにはeth0に対してtagged vlanでインターフェースを追加し子ルータ間でもIPv4の通信ができるようにするなどしてください。なおその場合は、IPv4の各サブネットアドレスが重複しないように注意してください。
追記(2024/07/07)上図の設定を記載しておきます。(ipv4デフォルトゲートウェイが10.1.1.23でipv6デフォルトゲートウェイがリンクローカルアドレスfe80::1の場合)
r50とr51の設定は以下の通りです。 
######## r50
#/etc/network/interfaces.d/eth0
auto eth0
iface eth0 inet manual
iface eth0 inet6 manual

#/etc/network/interfaces.d/eth0.10
auto eth0.10
iface eth0.10 inet manual

#/etc/network/interfaces.d/eth1
auto eth1
iface eth1 inet manual
iface eth1 inet6 manual

#/etc/frr/frr.conf
frr version 8.4.4
frr defaults traditional
hostname r50
log syslog informational
service integrated-vtysh-config
!
ip route 0.0.0.0/0 10.1.1.23
ipv6 route ::/0 fe80::1 eth0
!
interface eth0
 ip address 10.1.1.50/24
 ipv6 address 26xx:1234:5678:9a00::50/56
exit
!
interface eth0.10
 ip address 10.0.0.50/24
exit
!
interface eth1
 ip address 10.1.50.1/24
 ipv6 address 26xx:1234:5678:9a50::1/60
exit
!
router rip
 default-information originate
 network eth0.10
 network eth1
 version 2
exit
!
router ripng
 default-information originate
 network eth0.10
 network eth1
exit
!

######## r51
#/etc/network/interfaces.d/eth0
auto eth0
iface eth0 inet manual
iface eth0 inet6 manual

#/etc/network/interfaces.d/eth1
auto eth1
iface eth1 inet manual
iface eth1 inet6 manual

#/etc/frr/frr.conf
frr version 8.4.4
frr defaults traditional
hostname r51
log syslog informational
service integrated-vtysh-config
!
interface eth0
 ip address 10.1.50.11/24
 ipv6 address 26xx:1234:5678:9a50::51/60
exit
!
interface eth1
 ip address 10.1.51.1/24
 ipv6 address 26xx:1234:5678:9a51::1/64
exit
!
router rip
 network eth0
 network eth1
 version 2
exit
!
router ripng
 network eth0
 network eth1
exit
!
r60とr61の設定は以下の通りです。 
######## r60
#/etc/network/interfaces.d/eth0
auto eth0
iface eth0 inet manual
iface eth0 inet6 manual

#/etc/network/interfaces.d/eth0.10
auto eth0.10
iface eth0.10 inet manual

#/etc/network/interfaces.d/eth1
auto eth1
iface eth1 inet manual
iface eth1 inet6 manual

#/etc/frr/frr.conf
frr version 8.4.4
frr defaults traditional
hostname r60
log syslog informational
service integrated-vtysh-config
!
ip route 0.0.0.0/0 10.1.1.23
ipv6 route ::/0 fe80::1 eth0
!
interface eth0
 ip address 10.1.1.60/24
 ipv6 address 26xx:1234:5678:9a00::60/56
exit
!
interface eth0.10
 ip address 10.0.0.60/24
exit
!
interface eth1
 ip address 10.1.60.1/24
 ipv6 address 26xx:1234:5678:9a60::1/60
exit
!
router rip
 default-information originate
 network eth0.10
 network eth1
 version 2
exit
!
router ripng
 default-information originate
 network eth0.10
 network eth1
exit
!

# /etc/nftables.conf
-- snip --
table ip nat {
        chain prerouting {
                type nat hook prerouting priority 0;
        }
        chain postrouting {
                type nat hook postrouting priority 0;
                oifname "eth0" masquerade
        }
}

######## r61
#/etc/network/interfaces.d/eth0
auto eth0
iface eth0 inet manual
iface eth0 inet6 manual

#/etc/network/interfaces.d/eth1
auto eth1
iface eth1 inet manual
iface eth1 inet6 manual

#/etc/frr/frr.conf
frr version 8.4.4
frr defaults traditional
hostname r61
log syslog informational
service integrated-vtysh-config
!
interface eth0
 ip address 10.1.60.11/24
 ipv6 address 26xx:1234:5678:9a60::61/60
exit
!
interface eth1
 ip address 10.1.61.1/24
 ipv6 address 26xx:1234:5678:9a61::1/64
exit
!
router rip
 network eth0
 network eth1
 version 2
exit
!
router ripng
 network eth0
 network eth1
exit
!

#/etc/nftables.conf
# /etc/nftables.conf
-- snip --
table ip nat {
        chain prerouting {
                type nat hook prerouting priority 0;
        }
        chain postrouting {
                type nat hook postrouting priority 0;
                oifname "eth0" masquerade
        }
}
設定に問題がなければ、r51-r61間でipv4/ipv6共に通信できます。もちろん、外部にも出れます。

以上です。

ラベル:

コメント

コメントを投稿

このブログの人気の投稿

wsdd を使ってSamba サーバをネットワークに表示

Windows 10のアップデートで、セキュリティー対応のため、smbv1がデフォルトではインストールされなくなり、Samba serverがエクスプローラーのネットワークに表示されなくなってしまいました。そこで、いくつか方法を調べたのですが、linuxでwsdの実装がないか探したところ、 https://github.com/christgau/wsdd が、見つかりましたので、さっそくインストールしてみました。まだパッケージにはないようですが、インストール自身は簡単です。wsdd自体は以下のように取得し、linkを張っておきます。 cd /usr/local/bin/ sudo wget https://raw.githubusercontent.com/christgau/wsdd/master/src/wsdd.py sudo chmod 755 wsdd.py sudo ln -sf wsdd.py wsdd こちらのsambaサーバはDebianなので、/etc/systemd/system/wsdd.serviceは以下のようにしました。 [Unit] Description=Web Services Dynamic Discovery host daemon Requires=network-online.target After=network.target network-online.target multi-user.target [Service] Type=simple ExecStart=/usr/local/bin/wsdd -d MYDOMAIN [Install] WantedBy=multi-user.target wsdd -d MYDOMAINのところを、環境にあわせて書き換えてください。 次に、systemdに登録・起動テストを行います。 systemctl enable wsdd systemctl start wsdd 起動に成功すると、エクスプローラーのネットワークに表示されます。  なおこのwsddはpython3が必要です。一度試してみてください。SMBv1/CIFSを停止していても、大丈夫です。 cで書かれたほかのwsddの実装もあるようなので、いずれパッケージになるかも...
コメントを投稿
続きを読む

Windows デバイス暗号化 のサポートで "許可されていない dma 対応バス/デバイスが検出されました"の対処

Windows でセキュリティー関係を見ているのですが、とあるPCでmsinfo32で確認すると"デバイス暗号化のサポート"で"許可されていない dma 対応バス/デバイスが検出されました"と出ていました。このPCの場合、それ以外はOK（なにも表示されない）だったのですが、ネットでしらべるとMSのドキュメントではハードウェアベンダーに問い合わせるなどと敷居が高く具体的にどこが引っかかっているかわかりません。そこでほかに方法はないかとしらべやってみたところ、"前提条件をみたしています"まで持って行けたので、本稿を挙げた次第です。 具体的には、以下のようにします。 1-a. 許可するDMA対応バス・デバイスを指定するレジストリの所有権と書き込み設定をおこなう。 以下のレジストリキーの所有者を自分自身(管理ユーザ)のものにし、フルコントロール権を付与する。 HKLM\SYSTEM\CurrentControlSet\Control\DmaSecurity\AllowedBuses もしくは 1-b. MicrosoftよりPsExecをダウンロードし、System権限でRegeditを立ち上げ編集する。 Microsoftより、https://docs.microsoft.com/en-us/sysinternals/downloads/psexec　にある こちら をダウンロードし、解凍する。解凍すると、x64の場合、PsExec64.exeがあるので、管理者権限で以下を実行し、システム権限でregeditを立ち上げることが出来るようになる。 cd Downloads\PSTools .\PsExec64.exe -sid C:\Windows\regedit.exe 2-a. パワーシェルスクリプトを実行し、PnPデバイスのうちインスタンスがPCIで始まるものを"AllowedBuses"に追加する。 以下のパワーシェルスクリプトを作成する。たとえばDocuments\allow-dma-bus-device.ps1として作成する。( こちらの記事のものを使用させていただきました: Thank you! ) $tmpfile = "$($env:T...
コメントを投稿
続きを読む

フレッツ光クロス：MAP-E ROUTER by Debian Box (iptables)

フレッツ光クロスがようやく開通したので、Debianにてrouterを構成し接続してみました。なお、プロバイダーを選ぶにあたっては、IPoE方式がそれぞれ異なるため検討したところ、IPoEでは、MAP-Eでもv6plusとocnバーチャルコネクトがあり、前者がポート数240なのに対し、後者は約４倍のポート数が使えるようなネットの情報をみて、OCNバーチャルコネクトを選択しました。（プロバイダーとしてはぷららです。なおDS-LiteはCE側でのNATではないので今回は見送りました。）そこで、OCN バーチャルコネクトをDebian(iptables)で実現するとどうなるかと思い、ネットの情報を頼りにしつつ、設定した次第です。 実際に試した結果、とりあえず通信できていますが、MAP-Eは本来マッピングルールをマップサーバから取得するはずなので、今回のやり方が正解とはいえませんし、仕様変更されると通信できなくなる可能性があります。あくまでも参考程度ですが、本稿をUPしてみました。 2023/03/16追記： こちら にゲームコンソールNAT越え(Nintendo Switch ナットタイプ A判定)対応版を投稿しました。 2023/03/28追記：※1の記述および3行無効化によりNAT越え(Nintendo Switch ナットタイプ B判定)できるようになりました。 構成は以下の通りです。 ルーターがDebianで回線がOCNバーチャルコネクトであること以外はなにも特別なところはない構成です。 さて、いきなり設定ですが、まず、割り当てられたプレフィックスを確認します。 確認は、 dhclient -6 -d -P enp2s0 とします。出力の中に 前略 RCV: | | X-- IAPREFIX 2400:4050:5c71:af00::/56 後略 このようにプレフィックスが表示されるので、その確認したプレフィックスを書き留めておきます。これを こちらで 入力します。すると、 CE: 2400:4050:5c71:af00:99:f171:c600:2f00 IPv4 アドレス: 153.241.113.198 ポート番号：(1776-1791 2800-2815 3824-3839) 4848-4863 5872-5887 6896-...
コメントを投稿
続きを読む