6in4 tunnel dentro do túnel OpenVPN - isso é possível?

Question

Eu tenho um servidor ubuntu com endereço IPv4 público e um roteador atrás do NAT de nível ISP.

Portanto, para obter o IPv6 para minha rede local, configurei um túnel IP do OpenVPN. O tráfego IPv4 dentro do túnel não tem nenhum problema, e o NAT foi configurado para a sub-rede OpenVPN, então o cliente OpenVPN pode acessar a Internet IPv4 via túnel sem nenhum problema.

Em seguida, configurei uma regra DNAT para encaminhar o tráfego 6to4 para o endpoint VPN:

Chain PREROUTING (policy ACCEPT)
 target     prot opt source               destination         
 DNAT       ipv6 --  anywhere             anywhere             to:10.2.0.6

Estou usando um roteador da MikroTik e segui as instruções aqui , exceto que tenho minha VPN IP do endpoint no endereço local do túnel 6to4.

Quando tento fazer o ping do endereço IPv6 do nó de extremidade do tunnelbroker, acabei o tempo limite. Então eu tento pingar o endereço IPv6 do meu cliente do meu outro servidor, que tem IPv6 nativo, isso me dá um endereço inacessível.

Não sei se essa abordagem funcionará ou o que devo fazer para que ela funcione. Se não, quais são outras possíveis soluções?

    

Answer 1

Tudo bem - por alguma razão que eu não entendo, a abordagem túnel-em-túnel não funciona, mas eu consigo fazer o IPv6 funcionar de outra maneira.

Primeiro, em vez de usar o túnel IP, use um túnel ethernet (tap). Então, no servidor de encapsulamento executando o OpenVPN, estabeleça o encapsulamento para o corretor de túneis e exija uma zona / 48 deles.

Depois disso, escolha qualquer endereço em sua zona / 48, direcione-o pelo endereço local do link do seu endpoint de túnel Ethernet (cliente). ou seja:

ip -6 route add <your /64 zone>::/64 via fe80::...

Volte para o cliente, rotear o tráfego IPv6 por meio do endereço de link local do servidor de encapsulamento. Isto é o que eu faço no meu MikroTik:

/ipv6 route add dst-address=2000::/3 gateway=fe80::...4%ovpn-tunnel

Em seguida, configure o endereço IPv6 na sua ponte LAN, usando essa zona / 64 que você acabou de rotear para o seu roteador:

/ipv6 address add address=<your /64 zone> interface=bridge advertise=yes

É isso.