Pandorabox 安装NAT6实现ipv6 nat

Posted 2020-10-08 jsp1256

本随笔针对高校支持ipv6的校园网，ipv6由上游路由器dhcp动态分配（无状态），电脑直连可以通过dhcp获取到ipv6的地址（前提）。

路由器CPU ：MTK MT7620A/MT7621AT

路由器运行PandoraBox 18.10

IPV6-中继转发

实现环境：湖南科技大学校园网家属区环境

逛Pangubox论坛发现了很好的方法，该方法基于中继转发，可以在不添加任何安装包的情况下，通过修改配置实现。

相关教程网址：https://blog.rabit.pw/2017/lede-ipv6

在校园网环境可能还需要修正默认路由，请参考IPV6-NAT的方法二的第三步进行修正，当此方式无效再尝试NAT

本人根据自身所处校园网环境的实际情况，在借鉴上述教程的基础上，对部分无用配置做了删除精简，目前并未发生异常。

配置IPV6中继转发

SSH或者WinSCP进路由器。修改 /etc/config/dhcp ，修改LAN的DHCP配置区，新增WAN6的DHCP配置区。

按如下配置修改：

config dhcp \'wan6\'
        option ra \'relay\'
        option ndp \'relay\'
        #option dhcpv6 \'relay\'
        option master \'1\'

config dhcp \'lan\'
        option interface \'lan\'
        option start \'100\'
        option limit \'150\'
        option leasetime \'12h\'
        option ra \'relay\'
        #option dhcpv6 \'relay\'
        option ndp \'relay\'

 个人解释（大意猜的）：开启WAN6区域的DHCP路由通告和NDP中继，并设置为主区域（DHCPv6服务器所在区域），LAN区域同样开启DHCP路由通告和NDP中继，默认为从属区域（DHCPv6客户端所在区域）。因为我校校园网家属区的IPV6地址是SLACC无状态下发的所以不需要开启DHCPv6的中继服务，wan口复制一份wan6的配置似乎没有必要，二者从属eth0.2的接口，中继一份应该可以了，从抓包的结果来分析，br-lan的RA报文从两条减少到一条，看来配置是正确的。

在学生区上网，则关闭NDP转发，开启DHCPv6报文转发，因为学生区上网是通过DHCPv6服务器动态下发地址的，但是因为服务器不支持中继应答，无法实现，下图抓取的报文不见Relay-reply。

使用该方法实现，IPV6流量在开启硬件加速的情况下改走硬件转发引擎，不再占用CPU，转发效率极高。

本方式的不足之处：

使用此种方式，NDP不会转发同一前缀下的NS邻居请求到上级网关，故如果有设备不接在本路由器的LAN区域下而是WAN区域下，但是前缀相同，后端设备会因为得不到NA响应而显示无法连接。解决方式是路由器上ping一次即可，路由器会向WAN口发送NS请求从而得到上级网关的响应，邻居表就会建立，链路将被打通（IPV6-NAT方式不受此影响）。

附：1、该方式对于本人的WIN10 无线网络（适配器Intel AC 3168）有BUG，当第二次重新连接WIFI时，IPV6不能获取相关的公网地址，造成链路不通。临时解决方式为重置无线网络适配器。

2、该方式在一段长的时间（如一晚上）后v6链路会失效，具体原因可能与路由器邻居关系异常有关，在最坏情况下需要重置路由器的network，NAT实现方式无此问题。

IPV6-NAT

实现环境：湖南科技大学校园网学生区+家属区环境

方法一（个人表示有一定的不稳定）：

参考自https://wiki.openwrt.org/doc/howto/ipv6.nat6的教程，

以上同时参考的官方文档：https://wiki.openwrt.org/doc/howto/ipv6.nat6，已经弄清了里面第四步里的firewall.d script的使用方法，官网的文档代码老旧，在最新的机子上面可能出错，最新的代码在代码提供者的github上面有：https://wiki.openwrt.org/doc/howto/ipv6.nat6

一、安装必须的软件包

首先在ipv4已联网的条件下安装必要的软件：

opkg update && opkg install kmod-ipt-nat6

二、配置WAN6和LAN接口及全局ULA设置

检查wan6是否有ipv6地址，如果没有设置wan6，保证有ipv6地址

 

然后把IPv6 ULA前缀第一个字母改成d开头的：

这个luci下面改吧，命令怪怪的

官方文档对这个操作的解释是：默认前缀是非全局路由的地址，大多路客户端在没有全局IPv6地址的情况下只有IPv4地址，所以需要将前缀改成未使用过的全局地址的样子。

接下来更改DHCP服务器的设置，默认有状态分配即可（方便管理），当然你也可以两者都有：

 

三、修改系统文件，开启转发

修改/etc/sysctl.conf，将以下内容加进去,大意说接收广播并开启IPv6转发

net.ipv6.conf.default.forwarding=2
net.ipv6.conf.all.forwarding=2
net.ipv6.conf.default.accept_ra=2
net.ipv6.conf.all.accept_ra=2

推荐用WinSCP修改 

接着在/etc/firewall.user添加防火墙规则：

ip6tables -t nat -I POSTROUTING -s $(uci get network.globals.ula_prefix) -j MASQUERADE

重启之后就能通过路由器上v6。

方法二（推荐）：

参考清华大学的IPv6NAT教程：https://github.com/tuna/ipv6.tsinghua.edu.cn/blob/master/openwrt.md

本方法基于上述教程，但是结合自身和实际遇到的情况做了修改。同时参考了方法一，前提条件与方法一一致。

一、安装必须的软件包，配置接口

首先在ipv4已联网的条件下安装必要的软件：

opkg update && opkg install ip6tables kmod-ipv6 kmod-ipt-nat6 kmod-ip6tables kmod-ip6tables-extra luci-proto-ipv6

iputils-traceroute6不进行安装是该功能已经由BusyBox提供了。

接下来同样是检查是否有IPV6地址，和把IPv6 ULA前缀第一个字母改成d开头的，与方法一第二步骤相同，这样下端设备会默认用IPV6而不是IPV4（fd开头的则默认IPV4）。

二、打开IPv6 NAT

因为OpenWRT默认的防火墙配置不会管IPv6的nat表，需要在/etc/firewall.user里面手动配置

WAN6=eth0.2
LAN=br-lan
ip6tables -t nat -A POSTROUTING -o $WAN6 -j MASQUERADE
ip6tables -A FORWARD -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
ip6tables -A FORWARD -i $LAN -j ACCEPT

接下来在修改/etc/config/firewall里面的设置，在wan区域增加一条

option masq6 \'1\'

#你的wan区域可能是下面这样的：
config zone
	option name \'wan\'
	list network \'wan\'
	list network \'wan6\'
	option input \'REJECT\'
	option output \'ACCEPT\'
	option forward \'REJECT\'
	option masq \'1\'
	option mtu_fix \'1\'
#然后你加入那条语句进去就好，靠在option masq \'1\'下面就好

三、重新配置默认路由

在路由器上ip -6 route看一下自己的默认路由。如果获得的是

default from 2001:250:x:xxxx::/128 via fe80::xxxx:xxxx:xxxx:xxxx dev eth0  proto static  metric 512

这样的路由配置在转发NAT包的时候会有问题，需要把去掉from 2001:250:x:xxxx::/128这一部分的以后的默认路由添加到路由表中，实现所有外网地址均向默认路由进行转发。新建一个/etc/hotplug.d/iface/99-ipv6，它的内容是

#!/bin/sh
[ "$ACTION" = ifup ] || exit 0
[ "$INTERFACE" = wan6 ] || exit 0
#注：在接口重置的时候运行脚本，可能会得到多条默认路由，有些是不可达的，我增加了一条指令来删除多余的路由，再把修改好的命令进行运行。在实地测试中发现了这个不完善的地方，并进行了修补。
ip -6 route add `ip -6 route show default|sed -e \'s/from [^ ]* //\'|sed -e \'2,$d\'` 
logger -t IPv6 "Add IPv6 default route."

最后，记住给这个脚本加上权限。

chmod a+x /etc/hotplug.d/iface/99-ipv6

 

最后附成功图片 

后记：本以为路由器会稳定点，然而我还是想错了，事实证明，自己电脑以前v6经常连上一会就断线是上游服务器的锅，没法，写个监控脚本来重连v6

最开始写的时候总是写不对，看着网上的教程估计是不匹配，最后找到个网站，总算是解决shell的编写问题了，网站地址：https://www.lifewire.com/ash-linux-command-4095519

再次编辑的补充：使用方法二后链路稳定下来了，可以不需要监控脚本，如果想打个保险的话依旧可以使用的。

附自己写的监控脚本：

#!/bin/sh
echo ---校园网IPv6守护进程启动---
echo ---版本类型：守护进程---
echo ---开始检测v6网络连接情况---
while  !(/bin/ping -c 1 2001:4860:4860::8888 >/dev/null)
do
        echo ---检测到v6断线---
        /sbin/ifup wan6
        echo ---重置wan6端口---
        tries=0
        while [[ $tries -lt 3 ]]
        do
            if /bin/ping -c 1 2001:4860:4860::8888 >/dev/null
            then
                echo --- 重连成功 ---
                echo ---校园网IPv6已连线---
                break
            fi
            tries=$((tries+1))
            sleep 10
        done
done
#计划任务添加项目
#*/2 * * * * sh /root/IPv6_Monitor.sh

 脚本第二版更新，可参考，但不得用于商业用途，整合原校园网认证（portal方式，采用wegt发送portal包实现认证），当然也可以试试curl、easyDrcom。

#!/bin/sh
#sleep 100
cd /tmp
DATE=`date +%Y-%m-%d-%H:%M:%S`
tries=0
ipv4_OK=false
ipv6_OK=false
echo ---校园网守护进程启动---
echo ---版本类型：IPv4守护进程---
echo ---开始检测网络连接情况---
while [[ $tries -lt 1 ]]
do
        if /bin/ping -c 1 www.baidu.com >/dev/null
        then
                echo --- 连接成功 ---
#                echo $DATE OK >>my_watchdog.log
                echo ---校园网正常在线---
                ipv4_OK=true
                break
        fi
        tries=$((tries+1))
        sleep 10
#       echo $DATE tries: $tries >>my_watchdog.log
done
if !($ipv4_OK)
then
    echo ---网络连接失败---
    cd /tmp
    echo ---监测到校园网断线，重新连接---
    #这个打开浏览器开发者工具，到网络哪里去看，认证一次就会出现portal包，自己看包内的内容填入即可，下面附一个示例，注：前面的username和password也可能是其他的名称，具体以浏览器开发工具看到的为准
    wget --post-data="username=你的用户名&password=你的密码" --save-cookies=cookie.txt --keep-session-cookies "认证服务器地址"
    rm -f "生成的某个文件（文件名不确定），你同样可以不删除，这个放在内存中，重启就会消失的"
    rm -f cookie.txt #已经确定的一个文件名
    echo ---校园网已重连---
    #echo $DATE IPv4_CONNECT! >>my_watchdog.log
fi
#echo $DATE CONNECT! >>my_watchdog.log

echo ---版本类型：IPv6守护进程--
echo ---开始检测v6网络连接情况---
if /bin/ping6 -c 1 2620:0:ccc::2 >/dev/null
    then
        echo ---校园网IPv6已连接--
        ipv6_OK=true
fi
if !($ipv6_OK)
then
    valuetry=0
    while  [[ $valuetry -lt 3 ]]
    do
        echo ---检测到v6断线---
        valuetry=$((valuetry+1))
        echo ---第$valuetry次尝试
        /sbin/ifup wan6
        echo ---重置wan6端口---
        tries=0
        while [[ $tries -lt 3 ]]
        do
            if /bin/ping6 -c 3 2620:0:ccc::2 >/dev/null
            then
                echo --- 校园网IPv6重连成功 ---
                echo --- 校园网IPv6已连接 ---
                #echo $DATE IPv6_CONNECT! >>my_watchdog.log
                exit 0
            fi
            tries=$((tries+1))
        done
    done
    echo ---重连失败---
fi
#计划任务添加项目
#*/3 * * * * sh /root/IPv4&&IPv6_Monitor.sh