☰

通过 openvpn 隧道路由公共 ipv6 流量

tag-icon • tag-icon routing openvpn ipv6
通过 openvpn 隧道路由公共 ipv6 流量

我想做的是通过 VPN 隧道路由 IPv6 流量。这样，我应该能够在不支持 IPv6 的网络中使用 IPv6。

我有一个分配了 IPv6 块的 VPS。我想将这个块的一部分用于 openvpn 客户端。我想到的范围是2001:db8::111:800:0/112（前缀是匿名的），因为openvpn仅支持/64和/112作为子网。

通过隧道的 IPv6 已经工作，从客户端，我可以 ping 服务器 ( 2001:db8::111:800:1)，以及服务器上的接口 (2001:db8::111:100:100和2001:db8:216:3dfa:f1d4:81c0)。

不过，当尝试从客户端 ping google.com 时，我没有得到任何响应（ping 超时）。为了调试这个问题，我使用 tcpdump 捕获服务器上的流量，我可以看到 ping 数据包发出，但没有回复返回。向 ip6tables 添加日志规则显示相同的情况，数据包出去，但没有任何进来。

我使用了一个在线跟踪路由工具，它从我的服务器获取超时。我也尝试过直接在接口上设置ip，确实导致ip( 2001:db8::111:800:1001)可达，所以我认为这是路由问题。

我已经通过 启用了 ipv6 转发/proc/sys/net/ipv6/conf/all/forwarding。 ip6tables 有允许所有链的策略。

我的问题是，linux 到底需要什么才能接受未分配给接口的 ip 的数据包并进一步路由它？仅现有一条路线似乎还不够。

这是我的客户端和服务器的设置。如果需要更多信息，请告知。

客户

# ip -6 addresses
10: tun0: <POINTOPOINT,MULTICAST,NOARP,UP,LOWER_UP> mtu 1500 qlen 100
    inet6 2001:db8::111:800:1001/112 scope global 
       valid_lft forever preferred_lft forever

# ip -6 routes
2001:db8::111:800:0/112 dev tun0  proto kernel  metric 256 
2000::/3 dev tun0  metric 1024

服务器

# ip -6 address
2: eth0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qlen 1000
    inet6 2001:db8:216:3dfa:f1d4:81c0/64 scope global dynamic 
       valid_lft 86254sec preferred_lft 14254sec
    inet6 2001:db8::111:100:100/128 scope global 
       valid_lft forever preferred_lft forever
12: tun0: <POINTOPOINT,MULTICAST,NOARP,UP,LOWER_UP> mtu 1500 qlen 100
    inet6 2001:db8::111:800:1/112 scope global 
       valid_lft forever preferred_lft forever

# ip -6 route
2001:db8::111:100:100 dev eth0  proto kernel  metric 256 
2001:db8::111:800:0/112 dev tun0  proto kernel  metric 256 
2001:db8::/64 dev eth0  proto kernel  metric 256  expires 86194sec
default via fe80::230:48ff:fe94:d6c5 dev eth0  proto ra  metric 1024  expires 1594sec

答案1

您需要告诉您的路由器将您的服务器用于此 VPN 子网：问题的正确解决方案是在路由器上为 OpenVPN 子网添加路由。

如果您因为无法接触路由器而无法执行此操作，则另一种解决方案是为eth0链路上的客户端设置 NDP 代理。

当您使用 VPS 时，您可能无法向路由器添加路由：您可能必须使用第二种解决方案。

添加子网路由

解决问题的正确方法是告诉路由器 VPN 子网必须通过 OpenVPN 服务器路由（适用于 Linux）：

ip route add 001:db8::111:800::/112 via 2001:db8::111:100:100

您必须在服务器上启用 IPv6 转发：

sysctl sys.net.ipv6.conf.all.forwarding=1

新民主党代理

路由器似乎配置为在eth0链路上发送整个 IPv6 范围：您可以设置 NDP 代理。

eth0当尝试从客户端访问互联网的其余部分时，您应该在 OpenVPN 子网的服务器接口上看到 NDP 请求。

您还需要在服务器上启用 IPv6 转发和 NDP 代理：

sysctl -w net.ipv6.conf.all.proxy_ndp=1

子网 NDP 代理

Linux 内核不允许为子网添加 NDP 代理，而只能为单个 IP 添加 NDP 代理。您可以使用守护程序（例如 NDPPD为整个子网设置 NDP 代理（从未使用过）。

每 IP NDP 代理

另一个解决方案是为 VPN 子网的每个 IPv6 添加一个 NDP 代理：

for i in $(seq 0 65535) ; do
  ip neigh add proxy 2001:db8::111:800:$(printf %x $i) dev tun0
done

这应该可以工作，因为 OpenVPN 子网中的 IP 数量相对较少。

具有 OpenVPN 挂钩的动态 NDP 代理

您应该能够使用 OpenVPN 挂钩动态添加 NDP 代理。

在 OpenVPN 服务器配置中添加钩子：

learn-address /etc/openvpn/learn-address

使用以下learn-address脚本：

#!/bin/sh

action="$1"
addr="$2"

case "$action" in
    add | update)
        ip neigh replace proxy "$addr" dev tun0
        ;;
    delete)
        ip neigh del proxy "$addr" dev tun0
        ;;
esac

看到这个线。

简短回答

for i in $(seq 0 65535) ; do
  ip neigh add proxy 2001:db8::111:800:$(printf %x $i) dev tun0
done

相关内容