とは
2020/06/01から
フレッツ接続 ZOOT NATIVE IPv4固定IP- INTERLINK
https://www.interlink.or.jp/service/zootnative/koteiip.html
が開始されたので、これをVyOSから使う。
2022/03/12 追記:
ここの「v6Direct」も同じ方法で接続できた。
https://www.open-circuit.ne.jp/isp/ipv6-ipoe.html
このサービス自体は、PPPoE接続を通すことなく固定IPv4アドレスが使えるものである。もちろん外部からの接続を受け付けられるのでサーバーにも使える。
似たようなサービスとしては、DS-LiteやMAP-Eを使った物が多くのプロバイダーにて提供されているが、これらは外部からの接続を受け付ける事に制限がある(MAP-Eでは使えるポートに制限がある/DS-Liteでは完全に不可能)。
同様のサービスは他の一部プロバイダでも実施されている。
仕組み自体の説明はこちらへ。
transix IPv4接続（固定IP）
https://www.mfeed.ad.jp/transix/staticip/
DS-Liteとの違い
ググるとVyOSからDS-Liteに接続する方法は多数出てくる。基本的にはこれに以下の変更を加えたものである。
- VyOS側でNATを用意する。
- DS-Liteではプロバイダー側にNATがある
- トンネル接続に使うIPv6アドレスの後半を、プロバイダーが指定した「インターフェースID」と同じにする。
- そもそもIPv6アドレスの後半64bitのことを「インターフェイスID」という
VyOSの設定
設定ファイル中で【】で囲まれている項目は、プロバイダからのメール内に記載されている各項目に対応する。
この例ではIPv6ブリッジを構成していないので、このままでは他のPCからインターネットへのIPv6通信が通らない。 そこはググってほしい(´・ω・`)
インターフェイスの設定を行う
- LAN側: eth0
- WAN(インターネット)側: eth1
として例を示す。
先にIPv6ネットワークに接続されている他のPCで ip addr などを使って、自分のIPv6アドレスを調べておく。そしてここからIPv6プレフィックスを切り出す。
例えば 2001:1234:5678:abcd:0123:1234:2345:3456/64 なら
2001:1234:5678:abcd がプレフィックスで 64 がプレフィックス長だ。
そしてVyOSには例えば次のように設定する。
interfaces {
ethernet eth0 {
address 192.168.1.1/24
description LAN
dhcpv6-options {
parameters-only
}
hw-id (LAN側ポートのMACアドレス)
policy {
route transix
}
speed auto
}
ethernet eth1 {
address (自分のIPv6プレフィックス):【インターフェースID】/(プレフィックス長)
description WAN
dhcpv6-options {
parameters-only
}
hw-id (WAN側ポートのMACアドレス)
ipv6 {
address {
autoconf
}
}
}
}
policy {
route transix {
rule 10 {
protocol tcp
set {
tcp-mss 1412
}
tcp {
flags SYN
}
}
}
}
トンネルを作る
interfaces {
(tunnel以外は省略)
tunnel tun0 {
address 【グローバル固定IPv4アドレス】/32
encapsulation ipip6
local-ip (自分のIPv6プレフィックス):【インターフェースID】
remote-ip 【固定IPトンネル終端装置 IPv6アドレス】
}
}
ルーティング
protocols {
static {
interface-route 0.0.0.0/0 {
next-hop-interface tun0 {
}
}
}
}
NATを構成する
destination の部分はポート開放(外部からの接続を受け付ける)例である。外に接続するだけなら source の部分だけ書けばよい。
nat {
destination {
rule 10 {
description http
destination {
port 80,443
}
inbound-interface tun0
protocol tcp
translation {
address (webサーバーのIPv4アドレス)
}
}
}
source {
rule 20 {
outbound-interface tun0
source {
address 192.168.1.0/24
}
translation {
address masquerade
}
}
}
}
DHCPを構成する
VyOS自身がルーターとして振る舞うため、DHCPもここに用意するとよいだろう。
service {
dhcp-server {
shared-network-name LOCAL_NET {
subnet 192.168.1.0/24 {
default-router 192.168.1.1
dns-server 192.168.1.1
lease 86400
range 0 {
start 192.168.1.100
stop 192.168.1.249
}
}
}
}
dhcpv6-server {
disable
}
dns {
forwarding {
allow-from 0.0.0.0/0
cache-size 1000
listen-address 192.168.1.1
name-server 8.8.8.8
name-server 8.8.4.4
}
}
}
ファイヤーウォールを構成する
おそらくかなり手を抜いている。
zone-policyを用いている。
firewall {
all-ping enable
broadcast-ping disable
config-trap disable
ipv6-name accept_all_v6 {
default-action accept
rule 2 {
action drop
state {
invalid enable
}
}
}
ipv6-name public_to_local_v6 {
default-action drop
rule 1 {
action accept
state {
established enable
related enable
}
}
rule 2 {
action drop
state {
invalid enable
}
}
rule 3 {
action accept
protocol icmpv6
}
rule 4 {
action accept
protocol ipip
}
}
ipv6-receive-redirects disable
ipv6-src-route disable
ip-src-route disable
log-martians enable
name accept_all {
default-action accept
rule 2 {
action drop
state {
invalid enable
}
}
}
name public_to_local {
default-action drop
rule 1 {
action accept
state {
established enable
related enable
}
}
rule 2 {
action drop
state {
invalid enable
}
}
}
name public_to_private {
default-action drop
rule 1 {
action accept
state {
established enable
related enable
}
}
rule 2 {
action drop
state {
invalid enable
}
}
rule 10 {
action accept
description http (Webサーバーを置く場合の例)
destination {
port 80,443
}
protocol tcp
}
}
receive-redirects disable
send-redirects enable
source-validation disable
syn-cookies enable
twa-hazards-protection disable
}
zone-policyも書く。
zone-policy {
zone local {
default-action drop
from private {
firewall {
ipv6-name accept_all_v6
name accept_all
}
}
from public {
firewall {
ipv6-name public_to_local_v6
name public_to_local
}
}
local-zone
}
zone private {
default-action drop
from local {
firewall {
ipv6-name accept_all_v6
name accept_all
}
}
from public {
firewall {
ipv6-name public_to_local_v6
name public_to_private
}
}
interface eth0
}
zone public {
default-action drop
from local {
firewall {
ipv6-name accept_all_v6
name accept_all
}
}
from private {
firewall {
ipv6-name accept_all_v6
name accept_all
}
}
interface tun0
interface eth1
}
}
動作確認
まずはVyOS自身からIPv4インターネットに出て行けるか確認する。
適当なIPv4アドレスに向けて traceroute を打って transix.jp を通過していれば多分おｋ
$ traceroute 8.8.8.8
traceroute to 8.8.8.8 (8.8.8.8), 30 hops max, 60 byte packets
1 ike-bbrt10.transix.jp (14.0.9.93) 4.654 ms 4.631 ms 4.458 ms
2 72.14.222.189 (72.14.222.189) 6.416 ms 6.405 ms 6.380 ms
3 * * *
4 dns.google (8.8.8.8) 6.090 ms
これができたら、他のPCからも接続を確認する。