通过 IPv6 OpenVPN 连接将 VPS 的静态 IP 连接到动态 LAN 上的邮件服务器？

Question 1

如果您要在 VPS 服务器上运行 TCP 代理，您应该能够避开 VPN 并通过 IPv6 直接从 VPS 连接到邮件服务器。

Socat 可以在 Linux 上解决这个问题：

socat -d -d -lmlocal2 \
TCP4-LISTEN:25,bind=myaddr1,su=nobody,fork,reuseaddr \
TCP6:mail.domain.local:80,bind=myaddr2

或者在 Windows 上执行 netsh：

netsh interface portproxy add v4tov6 listenport=25 connectaddress=mail.domain.local connectport=25 protocol=tcp

要么将与 VPS 服务器的 IPv4 地址的连接转发到邮件服务器的 IPv6 地址。

如果发送者具有 IPv6 访问权限，这还可以带来跳过 VPS 的额外好处。

如果您执意要使用不带端口转发的 OpenVPN，那么您必须执行以下操作来传输流量：

设置边缘主机的 IPv6 访问权限
在 IPv6 互联网上设置 v4 p2p 隧道
设置路由以允许来自邮件服务器的所有流量通过隧道
设置 NAT，将辅助 v4 地址转换为邮件服务器的私有 v4 地址

假设 IPv4 公有地址为 1.2.3.2 和 1.2.3.3，网关为 1.2.3.1。假设 VPS 站点的 IPv6 公有地址为 [2001:abcd:1::] 假设客户端站点的 IPv6 公有地址为 [2001:abcd:2::] 假设 VPS 边缘的 IPv4 隧道地址为 10.1.100.1，客户端边缘的 IPv4 隧道地址为 10.1.100.2

笔记：这有点像伪代码，但与思科配置非常接近。我手头没有等效的 iptables 和 OpenVPN 配置，但它们应该很容易转换。

VPS 网关：

! gateway acts as a router
ip routing
ipv6 unicast-routing

! interfaces
interface outside
  ip address 1.2.3.2 255.255.255.248
interface inside
  ip address 172.16.10.63 255.255.255.0
  ipv6 address 2001:abcd:1:1::1 /64
interface tunnel6
  ipv6 address 2001:abcd:1::1
  tunnel source 1.2.3.2

! Routing table:
! send traffic for the client net via the openvpn p2p link
ip route 192.168.1.0 255.255.255.0 172.16.10.100
ip route 0.0.0.0 0.0.0.0 1.2.3.1
ipv6 route ::0/0 2001:abcd:1::2

! NAT Table:
! nat the mailserver
static (outside,inside) 1.2.3.4 192.168.1.199 netmask 255.255.255.255

VPS 服务器：

! vps server acts as a v4 router
ip routing

! interfaces
interface inside
  ip address 172.16.10.100
  ipv6 address 2001:abcd:1:1::100 /64

interface tun0
  tunnel source 2001:abcd:1:1::100
  tunnel destination 2001:abcd:2:1::100
  ip address 10.1.100.1 255.255.255.252

! Routing table:
ip route 192.168.1.0 255.255.255.0 10.1.100.2
ip route 0.0.0.0 0.0.0.0 172.16.10.63
ipv6 route ::0/0 2001:abcd:1:1::1

客户端路由器：

! gateway acts as a router
ip routing
ipv6 unicast-routing

! interfaces
interface outside
  ip address from dhcp
interface inside
  ip address 192.168.1.24 255.255.255.0
  ipv6 address 2001:abcd:2:1::1 /64
interface tunnel6
  ipv6 address 2001:abcd:2::1

! routing
ip route 172.16.10.0 255.255.255.0 192.168.1.100
ipv6 route ::0/0 2001:abcd:2::2

客户端边缘：

! client edge acts as a v4 router
ip routing

interface inside
  ip address 192.168.1.100 255.255.255.0
  ipv6 address 2001:abcd:2:1::100 /64
interface tunnel0
  tunnel source 2001:abcd:2:1::100 
  tunnel destination 2001:abcd:1:1::100
  ip address 10.1.100.2 255.255.255.252

ip route 172.16.10.0 255.255.255.0 10.1.100.1

! use pbr to send internet traffic from the mailserver over the vpn
access-list 1 permit 192.168.1.199
route-map pbr-mailserver-vpn permit 10
  match ip address 1
  set ip default next-hop 10.1.100.1
route-map pbr-mailserver-vpn permit 20
  set ip default next-hop 192.168.1.24

邮件服务器：

interface inside
  ip address 192.168.1.199 255.255.255.0

! since our default traffic must be natted to the secondary VPS IP, forward over 
! client edge to vpn
ip route 0.0.0.0 0.0.0.0 192.168.1.100

笔记：如果您的边缘路由器支持 GRE 或其他封装隧道协议，您可以跳过服务器并在路由器上进行隧道传输。但请记住，客户端路由器必须能够根据源地址进行策略路由，以便通过隧道将来自邮件服务器的流量返回。

我再次强调，与从 v4 到 v6 进行端口转发相比，这几乎没有什么好处，而且复杂性增加到了荒谬的程度。它还会引入难以追踪的问题，例如非对称路由、NAT 和多层隧道（这将使 MTU 降低约 400 字节）。

Answer