あらすじ

IPv4 と IPv6 のインターネットが混在する世界。
この v4 → v6 転換期で混沌を極めたネットワークの中でポートを開けるまでのお話
(ほぼ個人的な設定備忘録)

環境

契約しているのはSo-net光プラスマンション東日本
v6プラス(MAP-E)対応！！
これはPPPoEより比較的混雑してなくて速い！
当時ワイ「はぇ～～～～速いんだ！じゃあこれで！」
...
詳細や歴史的背景は後述しますが、この環境では任意のポート開放はできません。
まぁこの記事を読んでるってことは知ってますよね。

v6プラス接続環境においての開放可能なポートの調査

ちなみにv6プラスで自分で開放できるポートは以下アルゴリズムで求めることが可能です。
でも、ググると自分のIPv6アドレスから開放可能なポートを調べてくれる便利なサイトがあるから
わざわざ計算しなくても良いよ。

AAAA : BBBB : CCCC : DDDD : EEEE : FFFF : GGGG : HHHH
っていうIPv6アドレスの場合、4ブロック目の部分の頭文字2文字を使う。ここでは「DD」のこと。

X=1～F、Y=0～Fとすると開放可能なポートは以下の範囲になります。
0xXDD0 ～ 0xYDDF

開放可能ポート(HEX)
1DD0 ～ 1DDF
2DD0 ～ 2DDF
...
EDD0 ～ EDDF
FDD0 ～ FDDF


def print_openable_port(v6_address):
    address_block = v6_address.split(':')
    block4        = address_block[3][0:2]
    
    for X in range(1,15):
        lower = int("{0:x}{1}0".format(X, block4), 16)
        upper = int("{0:x}{1}f".format(X, block4), 16)
        print("{0} ~ {1}".format(lower, upper))

要件

IPoE接続による恩恵は最大限受けて、任意のポート開放を行いたい

実現する方法

考えられる方法は以下のいずれかだと思います。

ルータ2台で実現する
YAMAHAルータ RTX830 で実現する

ルータ2台で実現する(おすすめ)

家庭用ルータを2台使ってゴリ押す方法です。必要機材は以下3点です。

v6プラス対応ルータ1台 (L3SW-A)
v6プラス非対応（もちろん対応でもいい）ルータ1台(L3SW-B)
スイッチングハブ1台 (L2SW)

以下を構成します。

L3SW-AはIPoE(VNE経由)でインターネットへ接続します。
L3DW-BはPPPoE(ISP経由)でインターネットへ接続します。
IPアドレスの払い出しがおかしくなるので、ここではDHCP機能はL3SW-Aに任せ、L3SW-Bでは無効にしておきます。
開けたいポート設定はL3SW-Bに対して行います。

ネットワークの設定は以上です。これ以降配線を変える必要はないです。
ゲートウェイの切り替え時はクライアントで決定してあげるだけです。

特に指定しないと、デフォルトゲートウェイはIPアドレスを振ってくれたルータに設定されると思いますが、
意図通りにならないかもしれないので、手動で設定しておきます。

IPoE接続でインターネットに出たい場合は、
デフォルトゲートウェイを192.168.100.1に設定します。

任意のポートを開放したいクライアントは、PPPoE接続でインターネットに出る必要があるので、
デフォルトゲートウェイを192.168.100.2に設定すれば良いです。

メリット

安い。理解しやすい。

デメリット

クライアントのデフォルトゲートウェイを静的に決めるのが手間。
1クライアントに対して特定のポートだけPPPoEでそのほかはIPoEで、とはできない。
ダサい。足が遅そう。

RTX830 で実現する

業務用ルータを使う。最終手段。
フィルター型ルーティングにより、開放するポートの接続のみPPPoEで行うようにします。
以下を構成します。

手順は次の通りです。

1.接続優先度をIPoE接続、PPPoE接続の順にしておきます。
以下ページの②までの手順を参考にIPoE接続とPPPoE接続を併用するためのフィルター設定をします。
これによりIPoE接続優先のPPPoEとの同時接続を行います。
【RTX830】IPoE v6プラス+IPv4 PPPoEを併用してVPNする話。｜STK｜note

ヒント
上記ページのフィルター番号で接続設定をしておくことをオススメします。
後述する拠点間VPNも行う場合、GUI上で2つのプロバイダー接続を行うと、
自動で設定されるフィルター番号のバッティングが発生するおそれがあります。

2.PPPoEで、フィルター型ルーティング設定を行う。

3.NATディスクリプター設定を行う

デメリット

高すぎる。私が入手したときは2台で6.8万円しました。(2023年2月現在)

メリット

ルータが１台で済む。
特定のポートに対してのみゲートウェイを変えるということができるので、複雑な設定が可能となる（YoutubeはIPoE、P2PゲームはPPPoEなど）
かっこいい。良い匂いがしそう。

雑談～～～～～～

v4とv6が混在している日本の環境

現在のインターネットでは、IPv4 と IPv6 という、2種類の異なる方式のIPが利用されています。
IPv4を使って構築されているIPv4インターネットと、IPv6を使って構築されているIPv6インターネットという、
互いに異なる方式の2種類のインターネットが存在しています。
日本ではユーザが新規申し込みを行って提供されるサービスは、
NTT東西がIPv6を使って構築した通信網であるNGN網です。(2019～)

NGN網は、IPv6 インターネットとは切り離された閉域網になっています。
これは日本電信電話株式会社等に関する法律(NTT法)による制限により、NTT東西はユーザに対して直接インターネット接続サービスを提供できないので、
フレッツ網はIPv6インターネットとは直接やり取りができないような設計になっています。

IPv4 PPPoE によるv4インターネット接続

ん？提供されるフレッツ網はIPv6閉域網なのにIPv4インターネットにはどうやって行くんだって話なんですけど、
そこでPPPoEという技術により、上記フレッツ網をトンネリングしてISPと接続し、その後ろにあるIPv4インターネットに接続します。

IPv6 IPoE によるv6インターネット接続

IPv6 IPoE はISPがIPv6による通信データを直接扱わないという特徴があります。
NTT東西と契約してIPv6 IPoEによるインターネット接続を提供するのは、
VNEです。ISPは、VNEからIPv6 IPoEインターネット接続サービスの卸提供を受けて
自社のユーザに対してこれを自社のサービスとして提供します。

誰のせいでポートを共有するハメになっているのか

1分で描いた図が以下です。
IPv6トンネルの割当にMAP-Eという仕組みが使われており、ベースにNATが使われているらしい。
結果、ポートの共有も行われるハメになった。と。

v6プラスって何

v6プラスは、VNEであるJPNEが提供する、IPv6 IPoEによるインターネット接続サービスにプラスして、
IPv4インターネットへの接続サービスも使えるというサービスです。
v6プラスでIPv4パケットを運ぶIPv6トンネルには、MAP-Eという方式が採用されていて、
JPNEはそのパケットをBorder Relayという機器を通すことでIPv4インターネットへ接続できます。

RTX830 2台による拠点間VPNも IPoE と PPPoE併用環境でできる....ってコト？！

できます。
L2TP / IPSec によるVPN接続にはudpでポート500, 1701, 4500 を開放する必要があるけど、
もちろんこれもv6プラスだと開放できないと思うので、これらをフィルターしてあげればOK。

【RTX830】IPoE v6プラス+IPv4 PPPoEを併用してVPNする話。｜STK｜note

フィルター型ルーティングの適用タイミングっていつ

最初、フィルター設定をPPPoEゲートウェイに設定したところで、PPPoEゲートウェイに接続優先度的に到達するのか...???
初期に到達するのはIPoEだから、そこにフィルター設定を設けるべきなのでは...
とか思ってたけど全然適用タイミングが違った。

公式リファレンスに記述がありました。そのまま引用します。
NATディスクリプター機能概要

NATディスクリプター機能が動作するタイミングは、パケットをインターフェースへ送信するときと、インターフェースから受信するときです。
インターフェースの種類は問わず、LAN、PP、TUNNELインターフェースで動作します。
PP Anonymousインターフェースでも動作しますが、相手ごとにポリシーを変えることはできないので、使い方は限られます。
フィルタリングやルーティングとの位置関係は下図のようになっています。
特に、フィルタリングとNATディスクリプターの位置関係が重要です。
インターフェースへ送信するパケットは、先にフィルタリングの処理を受けてから、NATディスクリプターの処理を受けます。
逆に、受信するパケットは、NATディスクリプターの処理を先に受けます。

つまりout方向にパケットを送信するときは、送信先インタフェースの決定前にフィルターは一括で確認している。
逆にin方向では先にパケットのルーティングを決定してからフィルタを適用する。

参考

NATディスクリプター機能概要
 【RTX830】IPoE v6プラス+IPv4 PPPoEを併用してVPNする話。｜STK｜note
【設定記録】ヤマハルーターのRTX830 ポート開放設定｜リスク・マネジメント委員会@一般社員｜note