6in4 tunnel no Debian 9

Question

Eu tenho um VPS que tem um bloco de endereços IPv6 / 64 atribuído a ele. Eu estou tentando implantar um túnel 6in4 do meu roteador pfSense em casa e ser capaz de acessar endereços IPv6 através desse túnel.

I'm successful in bringing the gateway up, but I cannot ping any other IPs other than the /64 from my pfSense box. Ping from the VPS works though.

Aqui está minha configuração / etc / network / interfaces -

auto lo
iface lo inet loopback

auto eth0
iface eth0 inet static
    address 123.456.xxx.yyy
    netmask 24
    gateway 123.456.xxx.1
    dns-nameservers 8.8.8.8 8.8.4.4
iface eth0 inet6 static
    address aaaa:bbbb:my:ipv6::1
    netmask 48
    gateway aaaa:bbbb::1

auto tunnel0
iface tunnel0 inet6 v4tunnel
    address aaaa:bbbb:my:ipv6::9
    netmask 64
    endpoint 66.abc.def.20
    up ip -6 route add aaaa:bbbb:my:ipv6::/64 via aaaa:bbbb:my:ipv6::10
    pre-up iptables-restore < /etc/iptables/rules.v4
    pre-up ip6tables-restore < /etc/iptables/rules.v6

Aqui está a regra do iptables para a v4

iptables -I INPUT -p 41 -s 66.abc.def.20 -j ACCEPT

Aqui estão as regras do ip6tables para a v6

ip6tables -I FORWARD -i tunnel0 -j ACCEPT
ip6tables -I FORWARD -o tunnel0 -j ACCEPT

Eu também adicionei as seguintes linhas ao /etc/sysctl.conf

net.ipv6.conf.all.forwarding=1
net.ipv6.conf.eth0.accept_ra=2

O ponto final do túnel no meu router pfSense é aaaa: bbbb: my: ipv6 :: 10.

    

Answer 1

Pelo que entendi, suas conexões são assim: a sub-rede 1 é global / 48 da Vultr e a sub-rede 3 será seu próprio espaço de endereço anunciado pelo BGP:

[Vultr router] ---subnet 1--- [Your VPS] ---subnet 2--- [pfSense] ---subnet 3--- <LAN>

Então, primeiro de tudo, não faz muito sentido usar o mesmo prefixo / 64 em todas as três sub-redes - quando você faz isso, você apenas dá instruções contraditórias para o roteador.

p>

Não ajudar é o fato de que este prefixo não é roteado para o seu VPS; Vultr vê como apenas um pedaço indivisível do on-link / 48. Então, quando o roteador da Vultr tenta alcançar aaaa:bbbb:my:ipv6::10 (seu pfSense), ele não sabe que os pacotes devem ser enviados para o seu VPS - ele acha que o endereço está no link e tenta descobri-lo usando o ND (ARP). / p>

Existem hacks que tornam isso possível (como ND / ARP proxying), mas você realmente precisa disso? Não, porque você tem muito do seu próprio espaço IP.

Então, pegue um / 64 do seu bloco anunciado pelo BGP (por exemplo, se você possui 2001:db8:12::/48 , então 2001:db8:12:ffff::/64 seria uma escolha comum) e configure esse como o prefixo do túnel. / p>