IPv6-Routing: vserver als Gateway für Teile vom /64 (ohne NDP-proxying)?

TheJH · 7. Februar 2021

Hi!

Mein vserver hat ja so ein schönes /64 für IPv6, und da dachte ich mir, ich kann mir da ja ein /80 rausschnitzen und das für ein VPN benutzen, sodass die VPN-clients auch schön global gültige IPv6-adressen bekommen können. Also ich hätte gerne, dass es so aussieht, mit meinem netcup-vserver als gateway:

Code

[netcup-gateway] <--> [mein netcup-server] <--> [der VPN-client]

Problem ist: Ich finde im CCP und SCP nirgends einen Knopf, um einzustellen, dass der netcup-server als router für ein subnet aus meinem /64 benutzt werden soll. Geht das irgendwie? Oder muss ich so nen ekligen workaround machen und mit net.ipv6.conf.eth0.proxy_ndp=1 und ip neigh add proxy {vpn-client-addresse} dev eth0 dafür sorgen, dass mein server dem netcup-gateway vorspielt, der VPN-client sei direkt an den upstream-link angeschlossen?

KB19 · 7. Februar 2021

Zusätzliche Subnetze sind geroutet, da braucht man diese NDP-Workarounds nicht: https://www.netcup.de/vserver/root-server-erweiterungen.php

Ansonsten empfehle ich ndppd, der kann das für ganze Subnetze vorgaukeln.

mainziman · 7. Februar 2021

Fur den Fall, dass die (maxmimale) Anzahl der VPN Clients bereits bekannt ist,

kannst f. die Verwendung z.B. ein /124 f. 16 VPN-Clients verwenden

und nachdem beim Starten des vServers das eth0-Device online geht automatisch z.B. folgendes laufen lassen

Code

for j in 0 1 2 3 4 5 6 7 8 9 a b c d e f
do
  for i in 0 1 2 3 4 5 6 7 8 9 a b c d e f
  do
    ip neigh add proxy 2a03:4000::ff$j$i dev eth0
  done
done

dann sind alle möglichen VPN clients bekannt;

die Zeilen 1, 2 und 7 brauchst wenn Du ein /120 f. 256 VPN Clients veranstaltest, andernfalls $j in Zeile 5 durch z.B. 'f' ersetzen;

eine Anpassung f. ein /121 od nur ein /126 ist damit kein Hexenwerk;

damit brauchst dann kein ndppd;

KB19 gibt es das denn f. die wichtigsten Distris als vorgefertigtes Packet; bei z.B. CentOS 7 bin ich nicht fündig geworden;

nachdem da: https://github.com/DanielAdolfsson/ndppd wirds ja nicht unbedingt in Produktivumgebungen empfohlen;

KB19 · 7. Februar 2021

Zitat von mainziman

gibt es das denn f. die wichtigsten Distris als vorgefertigtes Packet; bei z.B. CentOS 7 bin ich nicht fündig geworden;

nachdem da: https://github.com/DanielAdolfsson/ndppd wirds ja nicht unbedingt in Produktivumgebungen empfohlen;

v0.2.x ist doch stabil?

In Debian gibt es ein fertiges Paket, alles andere war mir damals ehrlich gesagt egal…

Aktuell nutze ich ndppd nirgends, zuletzt auf einem KVM-System mit VMX-Flag. Das habe ich aber schon vor einiger Zeit aufgegeben.

Zitat von mainziman

z.B. folgendes laufen lassen

Die beiden Schleifen gehen übrigens noch kürzer und übersichtlicher, als Beispiel:

Bash

for i in {0..255}; do echo "$(printf '%04x' "$i")"; done

Bzw. ohne Bash:

Bash

for i in `seq 0 255`; do i=`printf '%04x' "$i"`; echo "$i"; done

mainziman · 7. Februar 2021

ja und mit dem ip ... command dann so als 1-Zeiler in einem Bash-Skript

for ((i = 0; i <= 255; i++)); do ip neigh add proxy "2a03:4000::ff$(printf '%02x' $i)" dev eth0; done

an das hatte ich nicht gedacht, weil man es ja als Hexadezimal-Werte braucht;

der Riesenunterschied zwischen IPv4 und IPv6 in der Notation

Tags