20 分钟后 KVM 客户机上的 IPv6 连接丢失

Question 1

我在使用 Hetzner 服务器时遇到了同样的问题，但使用的是 VirtualBox 而不是 KVM。

问题：

Hetzner 将所有具有 /64 子网内任何目标 IP 的 IPv6 数据包路由到物理主机的 MAC 地址。这意味着，如果您从互联网上的某个地方向具有与主机相同前缀的 IPv6 地址的 VM 发送 ping，Hetzer 的网关不会进行邻居请求来查找 VM 的 MAC 地址，而只是将 ICMP 数据包转发到主机的 MAC。这就是为什么您可以在物理主机上看到回显回复，但在 VM 上看不到的原因：它针对的是主机的 MAC，而不是 VM 的 MAC。

但是，Hetzner 的 IPv6 实现似乎存在错误（或者可能是故意的，我不知道）：如果虚拟机发送邻居请求以查找网关的 MAC 地址（fe80::1），并且它使用其全局 IPv6 IP 作为请求的源地址，Hetzner 的网关似乎会以某种方式更新其内部 IPv6 到 MAC 地址表。在接下来的 20 分钟内，Hetzner 的网关将把任何以虚拟机 IPv6 地址为目标的数据包发送到虚拟机的 MAC 地址。如果在 20 分钟内没有从虚拟机的 MAC 和虚拟机的全局 IP 向网关发送进一步的请求，它会回退到将 IPv6 数据包发送到主机的 MAC。

现在您的虚拟机 - 在网络启动后，可能是因为此时未分配本地链路地址 - ONCE 使用其全局 IPv6 地址作为源发送请求，因此“意外”更新了 Hetzner 的 MAC 地址表。在运行时，虚拟机仍会不断发送请求以查找网关的 MAC 地址以使其 MAC 地址表保持最新，但它使用其本地链路 IPv6 地址来执行此操作（从 IPv6 的角度来看这是完全可以的），但这不会更新 Hetzner 网关的 MAC 地址表。这就是为什么 IPv6 在虚拟机启动后似乎完全正常工作但只能持续 20 分钟的原因。

解决方案：

有一个肮脏的解决方案和一个干净的解决方案：

肮脏的解决方案：您的虚拟机必须不时使用其全局 IPv6 地址（比如说每 5 分钟一次）发送网关 MAC 地址的请求。这很棘手：您的虚拟机将发送请求，但使用其链路本地 IPv6。所以我在这里使用了一个便宜的技巧：我从接口中删除链路本地 IP，发送请求（然后强制使用全局 IP）并重新连接链路本地 IP：
```
ip -6 addr del fe80::a00:27ff:fecf:e270/64 dev enp0s3
ndisc6 fe80::1 enp0s3
ip -6 addr add fe80::a00:27ff:fecf:e270/64 dev enp0s3
```
干净的解决方案：不要使用桥接。我现在使用仅主机网络。这意味着虚拟机连接到单独的 NIC（vboxnet0）。我添加了一个 IPv6 路由，将所有流量从主机转发到虚拟机的 IPv6 地址：
```
ip -6 route add <my IPv6 pefix>::20 dev vboxnet0
```

在虚拟机上，我使用主机的本地链路 IPv6 地址作为其默认网关。为了允许主机在其全局 IPv6 IP 上连接虚拟机，我将同一 /64 子网中的另一个 IP 分配给 vboxnet0。对我来说，这非常完美。

Answer

我在使用 Hetzner 服务器时遇到了同样的问题，但使用的是 VirtualBox 而不是 KVM。

问题：

Hetzner 将所有具有 /64 子网内任何目标 IP 的 IPv6 数据包路由到物理主机的 MAC 地址。这意味着，如果您从互联网上的某个地方向具有与主机相同前缀的 IPv6 地址的 VM 发送 ping，Hetzer 的网关不会进行邻居请求来查找 VM 的 MAC 地址，而只是将 ICMP 数据包转发到主机的 MAC。这就是为什么您可以在物理主机上看到回显回复，但在 VM 上看不到的原因：它针对的是主机的 MAC，而不是 VM 的 MAC。

但是，Hetzner 的 IPv6 实现似乎存在错误（或者可能是故意的，我不知道）：如果虚拟机发送邻居请求以查找网关的 MAC 地址（fe80::1），并且它使用其全局 IPv6 IP 作为请求的源地址，Hetzner 的网关似乎会以某种方式更新其内部 IPv6 到 MAC 地址表。在接下来的 20 分钟内，Hetzner 的网关将把任何以虚拟机 IPv6 地址为目标的数据包发送到虚拟机的 MAC 地址。如果在 20 分钟内没有从虚拟机的 MAC 和虚拟机的全局 IP 向网关发送进一步的请求，它会回退到将 IPv6 数据包发送到主机的 MAC。

现在您的虚拟机 - 在网络启动后，可能是因为此时未分配本地链路地址 - ONCE 使用其全局 IPv6 地址作为源发送请求，因此“意外”更新了 Hetzner 的 MAC 地址表。在运行时，虚拟机仍会不断发送请求以查找网关的 MAC 地址以使其 MAC 地址表保持最新，但它使用其本地链路 IPv6 地址来执行此操作（从 IPv6 的角度来看这是完全可以的），但这不会更新 Hetzner 网关的 MAC 地址表。这就是为什么 IPv6 在虚拟机启动后似乎完全正常工作但只能持续 20 分钟的原因。

解决方案：

有一个肮脏的解决方案和一个干净的解决方案：

肮脏的解决方案：您的虚拟机必须不时使用其全局 IPv6 地址（比如说每 5 分钟一次）发送网关 MAC 地址的请求。这很棘手：您的虚拟机将发送请求，但使用其链路本地 IPv6。所以我在这里使用了一个便宜的技巧：我从接口中删除链路本地 IP，发送请求（然后强制使用全局 IP）并重新连接链路本地 IP：
```
ip -6 addr del fe80::a00:27ff:fecf:e270/64 dev enp0s3
ndisc6 fe80::1 enp0s3
ip -6 addr add fe80::a00:27ff:fecf:e270/64 dev enp0s3
```
干净的解决方案：不要使用桥接。我现在使用仅主机网络。这意味着虚拟机连接到单独的 NIC（vboxnet0）。我添加了一个 IPv6 路由，将所有流量从主机转发到虚拟机的 IPv6 地址：
```
ip -6 route add <my IPv6 pefix>::20 dev vboxnet0
```

在虚拟机上，我使用主机的本地链路 IPv6 地址作为其默认网关。为了允许主机在其全局 IPv6 IP 上连接虚拟机，我将同一 /64 子网中的另一个 IP 分配给 vboxnet0。对我来说，这非常完美。

Question 2

我的 Hetzner 服务器遇到了完全相同的问题，但我找到了一个比您的“肮脏的解决方案”更好的解决方案，因为ndisc6它有一个参数-s可以指定另一个源 IP 而不是链接本地地址：

ndisc6 -s \<my IPv6 prefix\>::20 fe80::1 enp1s0

因此我编写了一个 cron 作业，每 5 分钟发送一次邻居请求，现在我很好了 :)

Answer

我的 Hetzner 服务器遇到了完全相同的问题，但我找到了一个比您的“肮脏的解决方案”更好的解决方案，因为ndisc6它有一个参数-s可以指定另一个源 IP 而不是链接本地地址：

ndisc6 -s \<my IPv6 prefix\>::20 fe80::1 enp1s0

因此我编写了一个 cron 作业，每 5 分钟发送一次邻居请求，现在我很好了 :)

Question 3

继续建设f0ssie 的回答，我编写了一个 bash 脚本，它可以执行相同的操作，但不依赖于任何硬编码的地址或接口，以便更轻松地跨多台计算机和网络进行部署。请注意，除了ndisc6，你还需要iproute2和杰奇。

#!/bin/bash

set -euo pipefail

default_route=$(ip -6 --json route | jq --exit-status '[.[] | select(.dst == "default")] | first')
default_gateway=$(echo "${default_route}" | jq --raw-output --exit-status '.gateway')
net_device=$(echo "${default_route}" | jq --raw-output --exit-status '.dev')
our_global_addr=$(ip -6 --json addr show dev "${net_device}" scope global | jq --raw-output --exit-status 'first | .addr_info | first | .local')

ndisc6 --source "${our_global_addr}" "${default_gateway}" "${net_device}"

Answer

继续建设f0ssie 的回答，我编写了一个 bash 脚本，它可以执行相同的操作，但不依赖于任何硬编码的地址或接口，以便更轻松地跨多台计算机和网络进行部署。请注意，除了ndisc6，你还需要iproute2和杰奇。

#!/bin/bash

set -euo pipefail

default_route=$(ip -6 --json route | jq --exit-status '[.[] | select(.dst == "default")] | first')
default_gateway=$(echo "${default_route}" | jq --raw-output --exit-status '.gateway')
net_device=$(echo "${default_route}" | jq --raw-output --exit-status '.dev')
our_global_addr=$(ip -6 --json addr show dev "${net_device}" scope global | jq --raw-output --exit-status 'first | .addr_info | first | .local')

ndisc6 --source "${our_global_addr}" "${default_gateway}" "${net_device}"

Question 4

我找到sysctl -w net.ipv6.conf.all.forwarding=1很有帮助。不知道为什么。灵感来自https://ipv6-first-guide.hillbrecht.de/#_preparing_the_network_settings_of_the_host

Answer

我找到sysctl -w net.ipv6.conf.all.forwarding=1很有帮助。不知道为什么。灵感来自https://ipv6-first-guide.hillbrecht.de/#_preparing_the_network_settings_of_the_host

20 分钟后 KVM 客户机上的 IPv6 连接丢失

答案1

答案2

答案3

答案4

相关内容