Forum Debian Users Gang

ethanak · 2014-07-25 07:24:30

Ponieważ straciłem (buuu) swoje ipki z IPv4 pozbyłem się jednego kompa który robił mi za serwer/router i zostałem z tanim chiczykiem za natem. Sytuację (przejściowo, ale jak znam życie to te przejściowo będzie dość długo) mam taką:

W domowej sieci jedna z maszyn robi za klienta gogo6 i router IPv6. Działa ślicznie.
Domową sieć mam podpiętą poprzez tego chińczyka i dwa apki na dachach do wewnętrznej sieci firmy.
Router w firmie (Linux) również robi za klienta gogo6 i router IPv6. I również działa ślicznie.

Wszystko pięknie śmigało, ale postanowiłem, że nie będę się op IPv6 z domu do roboty przez Amsterdam łączył - postanowiłem postawić tunel. Naczytałem się jakichś dokumentacji na temat GRE - konkretniej [url]http://tldp.org/HOWTO/Adv-Routing-HOWTO/lartc.tunnel.gre.html[/url] - forwardnąłem port na chińczyku, skonfigurowałem oba końce...

No i sytuacja jest taka: z domu do firmy dostaję się po IPv6 bez problemu - ale zależy mi na sytuacji odwrotnej. Niestety, tunel "gubi się" (podejrzewam tu niecne zamiary owego chińczyka) i domu z firmy nie widzę. A ściślej: jeśli puszczę ping6 z domu do routera w firmie, nagle wszystko zaczyna działać... i działa przez chwilę, potem znów zdycha.

Prowizorycznie poradziłem sobie tak, że z domowej maszyny z crona puszczam pojedynczy ping6 do firmy, ale jakoś takie prowizorki mnie nie przekonują.

Coś spartoliłem czy ten typ tak ma?

Jacekalex · 2014-07-25 11:39:14

Router trzyma informacje w tablicy conntrack zazwyczaj przez 2 minuty.
Dlatego jak puszczasz pinga, to przez czas pobytu wpisu w tablicy conntrack działa, po czym przestaje.
Musisz dodać statyczne przekierowanie przychodzącego połączenia na adres w sieci LAN, chyba wszystkie routery mają coś podobnego.

Czyli coś w ten deseń (np na DDWRT/OpenWRT) (piszę z pamięci):

Kod:

iptables -t nat -I PREROUTING  -i {WAN} -p tcp --dport 22 -j  DNAT --to-destination 192.168.1.17:222
iptables -t nat -A POSTROUTING -o {WAN}  -j MASQUERADE

WAN - interfejs routera podpięty do netu.

Identycznie z ipv6, tylko wtedy się używa ip6tables (cel NAT w ipv6 pojawił się niedawno, dlatego pewnie nie wszystkie bunta go obrabiają).
Sprawdzanie?

Kod:

grep -i nf_nat_ipv6 /boot/config-$(uname -r)

Chyba, że masz jakąś pulę adresów IPv6, i każdy grat ma własny adres publiczny, wtedy wystarczy na routerze prawidłowo trasy routingu poustawiać, chociaż nawet najbardziej gówniany router na świecie powinien je wykryć automatycznie bez żadnej łaski.

PS.
IPv6 masz przez jakiś tunel 6to4 czy coś podobnego?

Pozdrawiam
;-)

Ostatnio edytowany przez Jacekalex (2014-07-25 12:34:29)

ethanak · 2014-07-26 09:13:38

No to pierwsze zdanie wyjaśniło mi wszystko.

Przekierowanie jak już pisałem miałęm, tylko ten durny chińczyk ma trochę za mało możliwości - pewnie gdyby tam był normalny linux to by nie było problemu, ale nie będę dodatkowego kompa stawiać tylko po to żeby mieć router.

Zresztą przyjrzałem się jak działa gogoc - jeśli jest za natem, co jakiś czas udrożnia tunel.

Pulę adresów owszem mam, tyle że ów najbardziej gówniany router na świecie nie wie nic na temat ipv6 :)

PS. IPv6 mamy tunelem z gogoNET (gogo6.com) - do ćwiczeń i zapoznania się z tym jak to działa wystarczy (klasy adresowe /56, oddelegowany revdns, ping do bramy ok. 40 msec). Ja się załapałem jeszcze na darmowe konto pro, ale chłopaki w firmie (zakładali później) z 5$ musieli wyskoczyć.

Ostatnio edytowany przez ethanak (2014-07-26 09:15:10)

Jacekalex · 2014-07-26 16:37:40

To polecam spacerek do sklepu, celem przytulenia jakiegoś grata,
na którym pójdzie DDWRT, OpenWRT lub Gargoye, jest całkiem spory wybór TP-linków, Netgearów, Linksysów i innych rupieci, które spełniają ten warunek.

Tu masz lepsiejszy spis i garść informacji:
http://wiki.openwrt.org/toh/start
http://dd-wrt.com/wiki/index.php/Supported_Devices
http://www.gargoyle-router.com/

Chińczyka w ramach przyjaźni polsko-koreańskiej możesz posłać Kimom którymśtam, może tam się przyda. :D

Pozdro
;-)

ethanak · 2014-07-26 16:50:27

A po kiego grzyba? OpenWRT mi będzie trzymał conntracka w nieskończoność? Bo w normalnym Linuksie z tego co wiem to jeszcze jakis tam moduł trzeba załadowac... OpenWRT nie znam.
A jeśli jedynym kosztem który ponoszę na dziś jest podtrzymanie tunelu jednym pakietem na minutę... wybacz, ale nie rozumiem dlaczego miałbym wydawać choćby złotówkę.
A z tego co wiem to wysłanie keepalive za natem jest raczej normalne. Myślałem po prostu, że tunel ma jakieś własne mechanizmy typu heartbit tylko czegoś nie doczytałem.

Jacekalex · 2014-07-26 17:02:28

OpeWRT i DDWRT to są normalne Linuxy, z normalnym jajem i normalnym firewallem, nawet czasami lepszym, niż standardowy w Linuxie.
Są zoptymalizowane do routerów, gdzie jest 2, 4 lub 8 MB lub więcej pamięci, i bez problemu w nich zrobisz dowolny NAT i dowolne przekierowanie tak samo, jak w Linuxie.
Obsługę IPv6 też masz o niebo lepszą, a taki routerek z mądrzejszym softem większość tuneli potrafi obrabiać sam bez udziału dodatkowych komputerów.

Tu masz przepis na tunel innej firmy na DDWRT:
http://www.dd-wrt.com/wiki/index.php/IPv6_setup_Hurricane_Electric_Tunnel_Broker

Pozdro
;-)

ethanak · 2014-07-26 17:13:37

Dalej pytam po co?
Obsługa IPv6 w routerze nie jest mi do niczego potrzebna (zauważ: połączenie mam przez IPv4). Po stronie LAN/WiFi mój chinczyk działa jak uczciwy switch i wszelkie pakiety IPv6 grzecznie przepuszcza (gdyby nie chciał to może bym myślał o wymianie).
Co mi da więcej ten cały OpenWRT czy cokolwiek oprócz tego co mam teraz (działający tunel)? Bo przecież za routery IPv6 w obu sieciach robią uczciwe Linuksy, a chińczyk jest potrzebny tylko po to, aby połączyć skrótem dwie podsieci /56...

Time (s)	Query
0.00017	SET CHARSET latin2
0.00004	SET NAMES latin2
0.00144	SELECT u., g., o.logged FROM punbb_users AS u INNER JOIN punbb_groups AS g ON u.group_id=g.g_id LEFT JOIN punbb_online AS o ON o.ident='13.58.200.78' WHERE u.id=1
0.00098	REPLACE INTO punbb_online (user_id, ident, logged) VALUES(1, '13.58.200.78', 1732819599)
0.00069	SELECT * FROM punbb_online WHERE logged<1732819299
0.00091	SELECT topic_id FROM punbb_posts WHERE id=272233
0.00155	SELECT id FROM punbb_posts WHERE topic_id=26180 ORDER BY posted
0.00075	SELECT t.subject, t.closed, t.num_replies, t.sticky, f.id AS forum_id, f.forum_name, f.moderators, fp.post_replies, 0 FROM punbb_topics AS t INNER JOIN punbb_forums AS f ON f.id=t.forum_id LEFT JOIN punbb_forum_perms AS fp ON (fp.forum_id=f.id AND fp.group_id=3) WHERE (fp.read_forum IS NULL OR fp.read_forum=1) AND t.id=26180 AND t.moved_to IS NULL
0.00007	SELECT search_for, replace_with FROM punbb_censoring
0.00099	SELECT u.email, u.title, u.url, u.location, u.use_avatar, u.signature, u.email_setting, u.num_posts, u.registered, u.admin_note, p.id, p.poster AS username, p.poster_id, p.poster_ip, p.poster_email, p.message, p.hide_smilies, p.posted, p.edited, p.edited_by, g.g_id, g.g_user_title, o.user_id AS is_online FROM punbb_posts AS p INNER JOIN punbb_users AS u ON u.id=p.poster_id INNER JOIN punbb_groups AS g ON g.g_id=u.group_id LEFT JOIN punbb_online AS o ON (o.user_id=u.id AND o.user_id!=1 AND o.idle=0) WHERE p.topic_id=26180 ORDER BY p.id LIMIT 0,25
0.00095	UPDATE punbb_topics SET num_views=num_views+1 WHERE id=26180
Total query time: 0.00854 s

Forum Debian Users Gang

Ogłoszenie

#1 2014-07-25 07:24:30

ethanak - Użytkownik

Jak prawidłowo skonfigurować tunel ipv6 - ipv4(NAT) - ipv6?

#2 2014-07-25 11:39:14

Jacekalex - Podobno człowiek...;)

Re: Jak prawidłowo skonfigurować tunel ipv6 - ipv4(NAT) - ipv6?

Kod:

Kod:

#3 2014-07-26 09:13:38

ethanak - Użytkownik

Re: Jak prawidłowo skonfigurować tunel ipv6 - ipv4(NAT) - ipv6?

#4 2014-07-26 16:37:40

Jacekalex - Podobno człowiek...;)

Re: Jak prawidłowo skonfigurować tunel ipv6 - ipv4(NAT) - ipv6?

#5 2014-07-26 16:50:27

ethanak - Użytkownik

Re: Jak prawidłowo skonfigurować tunel ipv6 - ipv4(NAT) - ipv6?

#6 2014-07-26 17:02:28

Jacekalex - Podobno człowiek...;)

Re: Jak prawidłowo skonfigurować tunel ipv6 - ipv4(NAT) - ipv6?

#7 2014-07-26 17:13:37

ethanak - Użytkownik

Re: Jak prawidłowo skonfigurować tunel ipv6 - ipv4(NAT) - ipv6?

Stopka forum

Informacje debugowania