今回は、nftablesをつかって、map-e接続してみました。構成は前回と同じですが、nftablesでの"clamp your TCP MSS to Path MTU"は、Linux kernel 4.14 and nftables 0.9以降なので、Debianはversion 11(Bullseye: 執筆現在はTestバージョン)を使用しました。
さて、早速設定ですが、大まかな設定の流れと事前の計算は、すでに、前回を読んでいて理解してくださっているものと仮定します。なお、今回はこちらを参考にさせていただきました。ありがとうございます。
追記 2021/03/16:前回と同様に、radvdumpで対向ルータのアドレスがわかります。
なお /etc/nftables.confに "nft list ruleset > /etc/nftables.conf" にて設定をセーブして、nftablesをサービスで呼び出す場合は、#### configure nftablesから #### local messy setups belowの間を飛ばしてください。
今回は以上です。ではまた。
さて、早速設定ですが、大まかな設定の流れと事前の計算は、すでに、前回を読んでいて理解してくださっているものと仮定します。なお、今回はこちらを参考にさせていただきました。ありがとうございます。
追記 2021/03/16:前回と同様に、radvdumpで対向ルータのアドレスがわかります。
前略 # # radvd configuration generated by radvdump 2.18 # based on Router Advertisement from fe80::wwww:xxxx:yyyy:zzzz # received by interface enp1s0f1 # 後略
#!/bin/bash #追記 2023/04/04:CEアドレスとtun0はWANDEVに割り当てる様に再度修正しました。 #追記 2023/03/28:PFXを分割しGWA(gateway address)を追加の上LAN側に割り当てるよう修正しました。 PFX=2400:4050:5c71:af00:: PLEN=56 GWA=1 BR='2001:380:a120::9' CE='2400:4050:5c71:af00:99:f171:c600:2f00' IP4='153.241.113.198' PSID=47 LANDEV='enp1s0' WANDEV='enp2s0' TUNDEV='tun0' # TYPE: [ OCN | V6P ] TYPE='OCN' if [ "$TYPE" = "OCN" ]; then \ lp=63 nxps=1024 # next port set elif [ "$TYPE" = "V6P" ]; then \ lp=15 nxps=4096 # next port set else echo Unknown TYPE: $TYPE exit 1 fi ip -6 addr add $CE dev $WANDEV ip -6 addr add $PFX$GWA/$PLEN dev $LANDEV ip -6 tunnel add $TUNDEV mode ip4ip6 remote $BR local $CE dev $WANDEV encaplimit none ip link set dev $TUNDEV mtu 1460 up ip -4 addr add $IP4/32 dev $TUNDEV # 対向のGWアドレスはradvdumpで確認できます。 ip -6 route add default proto static metric 20 \ nexthop via fe80::wwww:xxxx:yyyy:zzzz dev $WANDEV weight 10 ip route add default proto static metric 20 \ nexthop dev $TUNDEV weight 10 ## configure nftables ## clear nftables first of all nft flush ruleset ## add map_e_filter table nft add table ip map_e_filter nft add chain ip map_e_filter POSTROUTING { type filter hook postrouting priority 0\; } nft add rule ip map_e_filter POSTROUTING iifname $TUNDEV tcp flags \& syn == syn tcp option maxseg size set rt mtu nft add rule ip map_e_filter POSTROUTING oifname $TUNDEV tcp flags \& syn == syn tcp option maxseg size set rt mtu ## add map_e_nat table nft add table ip map_e_nat nft add chain ip map_e_nat POSTROUTING { type nat hook postrouting priority 0 \; } ## add my_vmap nft add map ip map_e_nat my_vmap { type mark : verdict \; } ## add POSTROUTING rules to map_e_nat table for proto in tcp udp icmp udplite sctp dccp; do nft add rule map_e_nat POSTROUTING oifname $TUNDEV meta l4proto $proto mark set numgen inc mod $lp offset 1 done nft add rule map_e_nat POSTROUTING oifname $TUNDEV meta mark vmap @my_vmap ## add map_e_chains to map_e_nat table and add elements into my_vmap rule=1 while [ $rule -le $lp ] ; do mark=`expr $rule` portl=`expr $rule \* $nxps + $PSID \* 16` portr=`expr $portl + 15` nft add chain ip map_e_nat map_e_chain$mark for proto in tcp udp icmp udplite sctp dccp; do nft add rule ip map_e_nat map_e_chain$mark meta l4proto $proto snat to $IP4:$portl-$portr persistent done nft add element ip map_e_nat my_vmap { $mark : goto map_e_chain$mark } rule=`expr $rule + 1` done #### local messy setups belowこれを、前回と同じように、パラメータなどを入れ替えて、/etc/rc.localから呼び出すようにします。そうすると前回と同じようにnftables版のmap-e Debian Routerとして機能できるようになります。ただし、前回と同様に、今回もDHCPv6-PDの設定、内側のLANインターフェース(enp1s0)の設定やフォワード設定、ファイアウォール設定、ULA/GUA変換、radvd設定等々は本稿では触れません。あしからずご了承ください。
なお /etc/nftables.confに "nft list ruleset > /etc/nftables.conf" にて設定をセーブして、nftablesをサービスで呼び出す場合は、#### configure nftablesから #### local messy setups belowの間を飛ばしてください。
今回は以上です。ではまた。
コメント
コメントを投稿