スキップしてメイン コンテンツに移動

IPv6 ポリシーベースルーティング on linux behind nat

NATルータ配下にて、トンネルデバイスを含め、複数のIPv6アドレスを同時に扱うため、ポリシーベース(アドレスベース)のIPv6ルータを設定してみました。ネットワーク構成の概要は以下の通りです。

破線の部分がIPv6（固定）トンネルで、実線の部分がネィティブIPv6(半固定)です。この例では、

1．eth0:Native( not static ) IPv6 ( table 102, priority 102 ）
2-1.  he-ipv6:IPv6 over IPv4 /64 tunnel ( table 100, priority 100 )
2-2.  eth1:static /48 IPv6 network assigned by Tunnel Broker ( table 100, priority 100 )
3.  6to4:static 6to4 tunnel ( table 101, priority 101 )

とし、それぞれの計三回線をポリシーベースルータで同時に扱います。なお、設定はDebian10/Busterを使っています。
また、NAT routerの外側のグローバル IP アドレスは、10.10.10.10、IPv6 policy based routerのプライベートIPアドレスは192.168.1.254とし、システム標準のデフォルトルート（デフォルトデバイス）は、スクリプトあるいは設定で標準のmainテーブルにデフォルトルートを設定する必要があり、以下ではeth0:ダイナミック（半固定）IPv6をデフォルトルート（デフォルトデバイス)にしています。なお、今回の設定では/etc/network以下の設定だけでPBRするようにしています。

1. eth0:Native IPv6 (table 99, priority 99)の設定
# /etc/network/interfaces.d/eth0
auto eth0
iface eth0 inet static
  address 192.168.1.254
  netmask 255.255.255.0
  gateway 192.168.1.1
  nameservers 8.8.8.8 1.1.1.1

iface eth0 inet6 static
  address 2400:XX:YY:ZZ00::1
  netmask 60
  up ip -6 route add 2400:XX:YY:ZZ00::1/60 dev eth0 tab 102
  up ip -6 route add default via fe80::1 dev eth0 tab 102
  up ip -6 rule add from 2400:XX:YY:ZZ00::1/128 tab 102 priority 102
  up ip -6 route add default via fe80::1 dev eth0
2-1.  he-ipv6:IPv6 over IPv4 /64 tunnel ( table 100, priority 100 )の設定
# /etc/network/interfaces.d/he-ipv6 
auto he-ipv6
iface he-ipv6 inet6 v4tunnel
  address 2001:XX:YY:ZZ::2
  netmask 64
  endpoint EP.ADR.OF.TB
  local 192.168.1.254
  ttl 255
#  gateway 2001:XX:YY:ZZ::1
  up ip -6 route add 2001:XX:YY:ZZ::2/64 dev he-ipv6 tab 100
  up ip -6 route add default via 2001:XX:YY:ZZ::1 dev he-ipv6 tab 100
  up ip -6 rule add from 2001:XX:YY:ZZ::2/128 tab 100 priority 100
2-2.  eth1:static /48 IPv6 network assigned by Tunnel Broker ( table 100, priority 100 )の設定
# /etc/network/interfaces.d/eth1 
auto eth1
iface eth1 inet6 static
  address 2001:AAAA:BBBB::1
  netmask 48
  ttl 255
  up ip -6 route add 2001:AAAA:BBBB::1/48 dev eth1 tab 100
  up ip -6 rule add from 2001:AAAA:BBBB::1/128 tab 100 priority 100
3.  6to4:static 6to4 tunnel ( table 101, priority 101 )の設定
# /etc/network/interfaces.d/6to4 
auto 6to4
iface 6to4 inet6 v4tunnel
  mode sit
  address 2002:0a0a:0a0a::1
  netmask 16
#  gateway ::192.88.99.1
  local 192.168.1.254
  endpoint any
  ttl 128
  up ip -6 route add 2002:0a0a:0a0a::1/16 dev 6to4 tab 101
#  up ip -6 route add default via ::192.188.99.1 dev 6to4 tab 101
  up ip -6 route add 2000::/3 via ::192.88.99.1 dev 6to4 tab 101
  up ip -6 rule add from 2002:0a0a:0a0a::1/128 tab 101 priority 101
4. /etc/sysctl.confについて sysctl.confは例えば以下のようにして、staticな設定にし、forwadingもするようにします。 
net.ipv6.conf.all.forwarding=1
net.ipv6.conf.default.forwarding=1

net.ipv6.conf.all.autoconf=0
net.ipv6.conf.default.autoconf=0
5.回線のテストについて
ping6 を -I にてインターフェースアドレスを指定して実行してください。例えば、eth1のアドレスをソースアドレスとする場合、 
ping6 -I 2001:AAAA:BBBB::1 -c2 www.google.com
としてください。各デバイスのソースアドレスを指定してPINGが通れば回線は正常につながっており、PBRは正常に設定できているということになりますので、外部からも接続できるということになります。なお、参考までに、6to4は到達性に問題がある場合があります。たとえば、www.kame.netには6to4では到達できません。(2020/03/13現在)
また、実際の運用になると、ip6tablesのファイアウォール設定が必要になりますが、今回の記事では触れていません。
今回は以上ですが、he-ipv6と6to4のアドレスはpublicかつ固定かつ/64または/48のアドレスですので、広大なアドレスで楽しんでみてください。
追記：
nat配下故、トンネルデバイスがアクティブであることを示すため、he-ipv6の場合、例えば、対向の::1のtunnelbroker側のルータへの定期的なping6などの何らかの通信が必要になります。6to4も同様です。

コメント

コメントを投稿

このブログの人気の投稿

wsdd を使ってSamba サーバをネットワークに表示

Windows 10のアップデートで、セキュリティー対応のため、smbv1がデフォルトではインストールされなくなり、Samba serverがエクスプローラーのネットワークに表示されなくなってしまいました。そこで、いくつか方法を調べたのですが、linuxでwsdの実装がないか探したところ、 https://github.com/christgau/wsdd が、見つかりましたので、さっそくインストールしてみました。まだパッケージにはないようですが、インストール自身は簡単です。wsdd自体は以下のように取得し、linkを張っておきます。 cd /usr/local/bin/ sudo wget https://raw.githubusercontent.com/christgau/wsdd/master/src/wsdd.py sudo chmod 755 wsdd.py sudo ln -sf wsdd.py wsdd こちらのsambaサーバはDebianなので、/etc/systemd/system/wsdd.serviceは以下のようにしました。 [Unit] Description=Web Services Dynamic Discovery host daemon Requires=network-online.target After=network.target network-online.target multi-user.target [Service] Type=simple ExecStart=/usr/local/bin/wsdd -d MYDOMAIN [Install] WantedBy=multi-user.target wsdd -d MYDOMAINのところを、環境にあわせて書き換えてください。 次に、systemdに登録・起動テストを行います。 systemctl enable wsdd systemctl start wsdd 起動に成功すると、エクスプローラーのネットワークに表示されます。  なおこのwsddはpython3が必要です。一度試してみてください。SMBv1/CIFSを停止していても、大丈夫です。 cで書かれたほかのwsddの実装もあるようなので、いずれパッケージになるかも...
コメントを投稿
続きを読む

Windows デバイス暗号化 のサポートで "許可されていない dma 対応バス/デバイスが検出されました"の対処

Windows でセキュリティー関係を見ているのですが、とあるPCでmsinfo32で確認すると"デバイス暗号化のサポート"で"許可されていない dma 対応バス/デバイスが検出されました"と出ていました。このPCの場合、それ以外はOK（なにも表示されない）だったのですが、ネットでしらべるとMSのドキュメントではハードウェアベンダーに問い合わせるなどと敷居が高く具体的にどこが引っかかっているかわかりません。そこでほかに方法はないかとしらべやってみたところ、"前提条件をみたしています"まで持って行けたので、本稿を挙げた次第です。 具体的には、以下のようにします。 1-a. 許可するDMA対応バス・デバイスを指定するレジストリの所有権と書き込み設定をおこなう。 以下のレジストリキーの所有者を自分自身(管理ユーザ)のものにし、フルコントロール権を付与する。 HKLM\SYSTEM\CurrentControlSet\Control\DmaSecurity\AllowedBuses もしくは 1-b. MicrosoftよりPsExecをダウンロードし、System権限でRegeditを立ち上げ編集する。 Microsoftより、https://docs.microsoft.com/en-us/sysinternals/downloads/psexec　にある こちら をダウンロードし、解凍する。解凍すると、x64の場合、PsExec64.exeがあるので、管理者権限で以下を実行し、システム権限でregeditを立ち上げることが出来るようになる。 cd Downloads\PSTools .\PsExec64.exe -sid C:\Windows\regedit.exe 2-a. パワーシェルスクリプトを実行し、PnPデバイスのうちインスタンスがPCIで始まるものを"AllowedBuses"に追加する。 以下のパワーシェルスクリプトを作成する。たとえばDocuments\allow-dma-bus-device.ps1として作成する。( こちらの記事のものを使用させていただきました: Thank you! ) $tmpfile = "$($env:T...
コメントを投稿
続きを読む

フレッツ光クロス：MAP-E ROUTER by Debian Box (iptables)

フレッツ光クロスがようやく開通したので、Debianにてrouterを構成し接続してみました。なお、プロバイダーを選ぶにあたっては、IPoE方式がそれぞれ異なるため検討したところ、IPoEでは、MAP-Eでもv6plusとocnバーチャルコネクトがあり、前者がポート数240なのに対し、後者は約４倍のポート数が使えるようなネットの情報をみて、OCNバーチャルコネクトを選択しました。（プロバイダーとしてはぷららです。なおDS-LiteはCE側でのNATではないので今回は見送りました。）そこで、OCN バーチャルコネクトをDebian(iptables)で実現するとどうなるかと思い、ネットの情報を頼りにしつつ、設定した次第です。 実際に試した結果、とりあえず通信できていますが、MAP-Eは本来マッピングルールをマップサーバから取得するはずなので、今回のやり方が正解とはいえませんし、仕様変更されると通信できなくなる可能性があります。あくまでも参考程度ですが、本稿をUPしてみました。 2023/03/16追記： こちら にゲームコンソールNAT越え(Nintendo Switch ナットタイプ A判定)対応版を投稿しました。 2023/03/28追記：※1の記述および3行無効化によりNAT越え(Nintendo Switch ナットタイプ B判定)できるようになりました。 構成は以下の通りです。 ルーターがDebianで回線がOCNバーチャルコネクトであること以外はなにも特別なところはない構成です。 さて、いきなり設定ですが、まず、割り当てられたプレフィックスを確認します。 確認は、 dhclient -6 -d -P enp2s0 とします。出力の中に 前略 RCV: | | X-- IAPREFIX 2400:4050:5c71:af00::/56 後略 このようにプレフィックスが表示されるので、その確認したプレフィックスを書き留めておきます。これを こちらで 入力します。すると、 CE: 2400:4050:5c71:af00:99:f171:c600:2f00 IPv4 アドレス: 153.241.113.198 ポート番号：(1776-1791 2800-2815 3824-3839) 4848-4863 5872-5887 6896-...
コメントを投稿
続きを読む