kvm の virbr で public な IPv6 アドレスを使う

今回も表題の通りなのですが、下述する ndppd を使わない場合、前提条件があります。それは、ルータが kvmホスト下の IPv6 ネットワークへのルートを保持できることです。具体的には、IPv6 でスタティックルートを設定できること、 もしくは ルータが ripng などを喋り、kvm ホストが virbr0 下のネットワークを広報するなどです。また、ndpproxy (ndppd) を使う方法もあります。ndppdを使う場合は下述のように ndppd の設定だけで外部と接続できますので、IPv6 Router上での lan側インターフェースのアドレスを固定にしてスタティックルートを設定する必要もなく、また、kvm host の lan側アドレスを固定にする必要もなくなり設定としては一番簡単ですが、今回は動作について最も解りやすいスタティックルートの例で説明したいと思います。

まずはじめに、ネットワークの構成についてです。パブリックな IPv6 が使用できる環境ではルータ以下の端末に一般的には /64のアドレスが割り当てられているとおもいますが、/64のサブネットを別に用意することは通常はできませんので、/64 以上の小さなサブネットを用意します。今回は /80 を例にしてみました。図にすると以下のようになります。

IPv6-Internet
  |
  |
IPv6 Router( lan eno2: 2001:db8:1:a::1/64 ) 
  |
  |
IPv6 kvm host(lan eno1: 2001:db8:1:a::117/64) 
  |
  |
virbr0 (2001:db8:1:a:117::1/80)
  |
  |
kvm guest (2001:db8:1:a:117::xxxx/80 by dhcp6)

この図だと IPv6 Router 上に virbr0 の 80 のサブネット (2001:db8:1:a:117::/80) へのルートを kvm host のアドレス (2001:db8:1:a::117/64) にする必要があります 。(厳密にはサブネットを予約するには、IPv6 Router が radvd で端末にアドレスを取得させるのではなく、dhcp6 でアドレスを配布させる必要がありますが、小規模な環境では重複する心配はほぼないのですが、気になる方は可能であればdhcp6へ切り替えてください。もしくは、下述する ndppd を設定してください。)また、この場合、 kvm host が IPv6 アドレスを auto もしくは dhcp で取得している場合、アドレスが変動すると困るので、static アドレスにします。
まず、IPv6 routerの設定です。今回はすべてDebian 12でifupdownでネットワークが構成されているものとします。インターネットルータ（IPv6 ルータ）のLAN側インターフェース eno 2 を例えば以下のようにします。

#/etc/network/interfaces.d/eno2
iface eno2 inet6 inet static
  address 2001:db8:1:a::1
  netmask 64
  post-up ip -6 route add 2001:db8:1:a:117::/80 via 2001:db8:a:1::117

WAN側インターフェースについては今回はふれませんが、ルータが ipv6 forwarding できるようにしておいてください。
続いて kvm host の設定です。まず、lan 側インターフェース (eno1) を以下のようにします。

#/etc/network/interfaces.d/eno1
iface eno1 inet6 inet static
  address 2001:db8:1:a::117
  gateway 2001;db8:1:a::1
  netmask 64

続いて virbr0の設定です。

<network>
  <name>default</name>
  <uuid>694a1e66-d45d-4dce-b833-xxxxxxxxxxxx</uuid>
  <forward mode='route'/>
  <bridge name='virbr0' stp='on' delay='0'/>
  <mac address='52:54:00:11:22:33'/>
  <ip address='10.1.117.1' netmask='255.255.255.0'>
    <dhcp>
      <range start='10.1.117.10' end='10.1.117.250'/>
    </dhcp>
  </ip>
  <ip family='ipv6' address='2001:db8:1:a:117::1' prefix='80'>
    <dhcp>
      <range start='2001:db8:1:a:117::1000' end='2001:db8:1:a:117::f000'/>
    </dhcp>
  </ip>
</network>

設定は以上です。設定に問題がなければ、kvm guest から ipv6 で外部に出ることができます。また、パブリックなアドレスなので外部からkvm guestにIPv6 アドレスで接続できます。ただし、kvmホストと同一のLAN内の他の端末からkvm guestにip v6 で接続したい場合は、その端末で

ip -6 route add 2001:db8:1:a:117::/80 via 2001:db8:1:a::117

とする必要があります。（なにもしていないと/64のネットワーク下に/80のサブネットワークが別にあると捉えず neighbor solicitation を流して接続しようとするため。)
もしくは、上述しましたが、kvm host 上で ndppd を設定することでもこの問題をクリアできます。

aot-get install ndppd

cat > /etc/ndppd.conf <<EOF
proxy eno1 {
  router no
  autowire yes
  keepalive yes retries 3
  rule 2001:db8:1:a:117::/80 {
    static
  }
}

proxy virbr0 {
  router yes
  autowire yes
  keepalive yes
  retries 3
  rule 2001:db0:1:a::/64 {
    iface eno1
  }
}
EOF

systemctl restart ndppd

ndppdの設定があれば、ipv6 router 上でスタティックルートを設定できない場合でも、外部から kvm guest に接続できるようになります。この場合だとIPv6 routerのLAN側インターフェースを固定にする必要も kvm host の Lan 側 ipv6 アドレスを固定にする必要もなくなりますが、ndppdはneighbor disccovery よりも処理が重いので大規模な環境には不向きです。
パブリックな IPv6 アドレスを virbr 経由で kvm guest に割り当てる記事はあまり見かけないので挙げてみました。
今回は以上です。それでは。