Yamahaルータの代わりにubuntuをルータにしようとしています。
だいたい参考URLのとおりですが、参考URLの3番目のrp_filter=0に気づくのに苦労しました。

参考URL：
https://mxnl.com/ds-lite/
https://qiita.com/knok/items/f6a4c2cf3f6293acb01d
https://qiita.com/kanejun/items/4f7a5fe7c811a77c0b7b

ポリシールーティングの設定

port80、443が来たらDS-Liteで、それ以外はFlet's直となるようにしたい。
振り分けはufw(iptables)のマーク付けで。

+-----+           +---------------------------+               +--------+
| PC  |-----(eth1)| デフォルト   ⇒ flets (100) |(eth2)-----(gw)| Flet's |
+-----+           | port80,443 ⇒ dslite(101) |               +--------+
                  +---------------------------+      192.168.100.254
        192.168.1.254/24                 192.168.100.1/24

LAN側がeth1(192.168.1.1/24)。WAN側がeth2(192.168.100.1/24)。
ポリシールーティング用テーブルは、Flet's直通(100)、DS-Lite向け(101)。
テーブルはDS-Lite向けだけでもいいけど対称性とこまい制御ができるように。

DS-Liteトンネルの設定

事前確認(IPv6アドレス)

WAN側のIPv6のグローバルアドレスを確認★

WAN側のIPv6アドレス確認

	# ip a
		:
		3: eth1: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc fq_codel state UP group default qlen 1000
		    link/ether 52:54:**:**:**:** brd ff:ff:ff:ff:ff:ff
		    altname enp6s0
	☆	    inet 192.168.1.254/24 brd 192.168.1.255 scope global eth1
		       valid_lft forever preferred_lft forever
		    inet6 fe80::**:**:**:**/64 scope link 
		       valid_lft forever preferred_lft forever
		:
		4: eth2: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc fq_codel state UP group default qlen 1000
		    link/ether 52:54:**:**:**:** brd ff:ff:ff:ff:ff:ff
		    altname enp7s0
	☆	    inet 192.168.100.1/24 brd 192.168.100.255 scope global eth2
		       valid_lft forever preferred_lft forever
	★	    inet6 2409:**:**:**:**:**:**:**/64 scope global dynamic mngtmpaddr noprefixroute 
		       valid_lft 2591983sec preferred_lft 604783sec
		    inet6 fe80::**:**:**:**/64 scope link 
		       valid_lft forever preferred_lft forever
		:

ポリシールーティング用テーブル

ポリシールーティング用テーブル

	# vi /etc/iproute2/rt_tables.d/inet.conf 
		100     flets
		101     dslite

ufw(iptables)のマーク付けでポリシー定義したいので、
IF(eth2)アップ時にルールが有効になるようにする。

ポリシールール設定

	# vi /etc/networkd-dispatcher/routable.d/50-ifup-hooks
		#! /bin/bash
		if [ "$IFACE" == "eth2" ]; then
			ip rule add fwmark 100 table flets
			ip rule add fwmark 101 table dslite
		fi

DS-Liteトンネルの設定

netplanでDSLiteのトンネルを設定。
localには事前確認にしたglobalのIPv6アドレス★を。

	# vi /etc/netplan/00-installer-config.yaml
		network:
		  version: 2
		  ethernets:
		    lan:
		      match:
		        macaddress: 52:54:**:**:**:**
		      set-name:  eth1
		      dhcp4:     false
		      addresses: ['192.168.1.254/24']
		      nameservers:
		        addresses: [192.168.100.254]
		    wan:
		      match:
		        macaddress: 52:54:**:**:**:**
		      set-name:  eth2
		      dhcp4:     false
		      addresses: ['192.168.100.1/24']
		      gateway4:    192.168.100.254
		#flets直通のポリシールーティング用のテーブル定義(なくても良い)
		      routes:
		        - to:      0.0.0.0/0
		          via:     192.168.100.254
		          on-link: true
		          table:   100
		  tunnels:
		    dslite:
		      mode:   ipip6
		#NTT 東日本の場合
		      remote: 2404:8e00::feed:100
		#NTT 西日本の場合
		#     remote: 2404:8e01::feed:100
		#上記どちらかを記述
	★	      local:  2409:**:**:**:**:**:**:**
		#dslite用のポリシールーティング用のテーブル定義
		      routes:
		        - to:    0.0.0.0/0
		          scope: link
		          table:  101

設定して再起動すると、dsliteというトンネルができます。ip6tn0は勝手にできる。

ネットワーク/ルーティングテーブルの確認

	# ip a
		4: eth2: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc fq_codel state UP group default qlen 1000
		    link/ether 52:54:**:**:**:** brd ff:ff:ff:ff:ff:ff
		    altname enp7s0
		    inet 192.168.100.1/24 brd 192.168.100.255 scope global eth2
		       valid_lft forever preferred_lft forever
		    inet6 2409:**:**:**:**:**:**:**/64 scope global dynamic mngtmpaddr noprefixroute 
		       valid_lft 2591983sec preferred_lft 604783sec
		    inet6 fe80::**:**:**:**/64 scope link 
		       valid_lft forever preferred_lft forever
		:
		5: ip6tnl0@NONE: <NOARP> mtu 1452 qdisc noop state DOWN group default qlen 1000
		    link/tunnel6 :: brd :: permaddr ****:****:****::
		6: dslite@NONE: <POINTOPOINT,NOARP,UP,LOWER_UP> mtu 1452 qdisc noqueue state UNKNOWN group default qlen 1000
		    link/tunnel6 2409:**:**:**:**:**:**:** peer 2404:8e00::feed:100 permaddr ****:****:****::
		    inet6 fe80::**:**:**:**/64 scope link 
		       valid_lft forever preferred_lft forever

	# route -n
		カーネルIP経路テーブル
		受信先サイト     ゲートウェイ       ネットマスク     フラグ  Metric Ref 使用数 インタフェース
		default        192.168.100.254  0.0.0.0         UG    0      0        0 eth2
		192.168.1.0    0.0.0.0          255.255.255.0   U     0      0        0 eth1
		192.168.100.0  0.0.0.0          255.255.255.0   U     0      0        0 eth2

	# ip route show table flets
		default via 192.168.100.254 dev eth2 proto static onlink 

	# ip route show table dslite
		default dev dslite proto static scope link 

	# ip rule show
		0:      from all lookup local
		32764:  from all fwmark 0x65 lookup dslite
		32765:  from all fwmark 0x64 lookup flets
		32766:  from all lookup main
		32767:  from all lookup default

まだ、ufw(NATとか)の設定をしていないのでルータとしては動きません。

ufw(iptables)の初期設定

初期設定が面倒だったのでufwを使うこととしました。ルールはおいおい充実させたい。

FOWARD/自動起動/ログを有効にする

	# vi /etc/default/ufw
		:
		DEFAULT_FORWARD_POLICY="ACCEPT"
		:

	# vi /etc/ufw/ufw.conf 
		# /etc/ufw/ufw.conf
		:
		＃自動起動
		ENABLED=yes
		:
		＃うまく動くまではログは少し詳細に
		LOGLEVEL=medium

rp_filterを緩くしないと、パケットの戻りがうまく行かなかった。
参考URL通り戻りパケットがFORWARDされず内部で消える。

カーネルパラメータ

	# vi /etc/ufw/sysctl.conf
			:
		net/ipv4/ip_forward=1
		net/ipv6/conf/default/forwarding=1
		net/ipv6/conf/all/forwarding=1

		#	https://qiita.com/kanejun/items/4f7a5fe7c811a77c0b7b
		#	スプーフィング対策解除
		net/ipv4/conf/all/rp_filter=0
		net/ipv4/conf/default/rp_filter=0

ufw(iptables)の有効化

	# systemctl enable ufw.service
	# ufw enable
	# shutdown -r now

ポリシールーティングの設定

ufwコマンドでの設定はわかりにくいのでbefore.rulesに。
とりあえず、最低限。

ufw(iptables)の設定

	# vi /etc/ufw/before.rules
		# Don't delete these required lines, otherwise there will be errors
		*filter
		:
		# allow MULTICAST UPnP for service discovery (be sure the MULTICAST line above
		# is uncommented)
		-A ufw-before-input -p udp -d 239.255.255.250 --dport 1900 -j ACCEPT
		:
		#######(filterのCOMMITの前に追加)
		#LAN側のパケットINPUTは許可
		-A ufw-before-input -i eth1 -j ACCEPT

		# don't delete the 'COMMIT' line or these rules won't be processed
		COMMIT

		#######(COMMITの後ろに追加：ここから)
		*mangle
		-F
		:PREROUTING ACCEPT [0:0]
		:OUTPUT     ACCEPT [0:0]
		#
		#eth1からのポート80/443のパケットにdslite向けのマーク(101)をつける
		-A PREROUTING -p tcp -m multiport --dports 80,443 -j MARK --set-mark 101
		#
		#内部からdsliteに向かう設定はOUTPUTで(外からくるのはPREROUTING)
		-A OUTPUT     -p tcp -m multiport --dports 80,443 -j MARK --set-mark 101
		#
		# radiko.jp(203.211.199.120)はDS-Lite経由だと地域判定がおかしくなるのでflets(100)へ
		-A PREROUTING -d 203.211.199.120 -j MARK --set-mark 100
		#
		# localアドレスはマークしない
		-A PREROUTING -d 127.0.0.1/8,192.168.1.0/24,192.168.100.0/24 -j MARK --set-mark 0
		#
		COMMIT
		#
		#######
		*nat
		-F
		:POSTROUTING ACCEPT [0:0]
		#
		# eth2へはNAT変換
		-A POSTROUTING -o eth2 -j MASQUERADE
		#
		COMMIT

ufw(iptables)設定の反映

	# ufw reload

通信状況の確認

次のURLにアクセすると、接続先がFlet'sのプロバイダではなく、DS-Lite(transix)になっているはず。

https://test-ipv6.com/index.html.ja_JP
⇒ご利用のインターネットサービスプロバイダ (ISP): MF-NATIVE6-E INTERNET MULTIFEED CO.
https://www.cman.jp/network/support/go_access.cgi
⇒あなたの利用しているIPアドレス( ...shared.user.transix.jp )

あまり自信ないけど一旦これで。