Как использовать любой адрес с подсети IPv6?

Question

[Кристофер Картер]

Есть сеть /64 на VPS. Адресов там очень много, но чтобы использовать какой-то из них (в ping/curl) нужно его отдельно добавлять на интерфейс. Как можно этого избежать? Нужны именно одномоментно все адреса из сети.

Все инструкции, которая всего одна на самом деле (https://blog.vpsville.ru/blog/howto/133.html) не работает, к сожалению.

OS - CentOS 7.

P.S. Не думал, что такая проблема вообще будет. Хостер тоже не может помочь.

Answer 1

[ky0]

Логично, что для использования адреса в исходящих пакетах "рекомендуется" его наличие на каком-либо интерфейсе - иначе как ваш шлюз поймёт, куда отправлять ответ? Ну, знаете, ARP-запросы и всё такое...

Если вам нужно просто отправлять пакеты с рандомным содержимым - для этого существуют отдельные утилиты.

Comments

[Кристофер Картер]

Так адрес в подсети, неужели если на сервере может быть в теории 50к даже адресов, а не как тут 18 триллионов, то их все добавляют на интерфейс? Мне нужно использовать их в конфигах прокси-серверов, а не рандомное содержимое. И чтобы они пинговались. И так можно сделать - есть два сервера с такой настройкой, но там непонятно как настраивали и там хостер давал какие-то команды вроде. Сейчас уже непонятно. Куда копать вообще?

[Кристофер Картер]

Нужно походу вот это, но оно не работает, видимо нет поддержки AnyIP в CentOS 7 или есть?

https://blog.widodh.nl/2016/04/anyip-bind-a-whole-...

[Александр Карабанов]

ARP нет в IPv6.

[none7]

Кристофер Картер, В конфигах прокси-серверов нужно точно так же указывать конкретные адреса. И если их будет 18 триллионов, то у Вас гарантированно не хватит памяти. А насчёт пинговаться всё довольно просто, все ICMP Echo заворачиваем в DNAT. Правда нужно, чтобы эту /64 на сервер маршрутизировали, а не просто посадили сервер в эту сеть.
В инструкции Вашей скрипт генерирует всего лишь 4200 уникальных адресов. Чтобы использовать все адреса подсети нужно патчить прокси-сервер, но тогда не сложно добавить и вызов скрипта временно прописывающего дополнительный адрес.

Answer 2

[Александр Карабанов]

Отчего же не работает. Работает, только надо, чтобы приложение поддерживало указание конкретного IP в качестве исходящего.

curl -L --interface '2a03:6f00:5:1::b6c8:f350' https://ya.ru/

ping6 -I '2a03:6f00:5:1::b6c8:f350' ya.ru

А если речь про сервер, то сервер должен уметь биндится на не назначенный IP.

Ну и на интерфейсе, который смотрит в интернет должен быть IP из этой подсети. То есть надо корректно настроить IPv6 на машине, убедится что всё работает, например попинговать ya.ru или google.com и прописать маршрут который указывал бы на lo интерфейс, как в той инструкиии.

А и форвардинг должен быть включен. Или нет...

Comments

[Кристофер Картер]

На сервере со следующими значениями все работает (но как вообще хз).

# sysctl net.ipv6.conf.default.forwarding
net.ipv6.conf.default.forwarding = 0
# sysctl net.ipv6.conf.all.forwarding
net.ipv6.conf.all.forwarding = 0
# sysctl net.ipv6.ip_nonlocal_bind
net.ipv6.ip_nonlocal_bind = 1

На своем сервере ставлю такие же параметры + ниже ifconfig и не работает(

eth0: flags=4163<UP,BROADCAST,RUNNING,MULTICAST>  mtu 1500
        inet 185.185.69.61  netmask 255.255.252.0  broadcast 185.185.71.255
        inet6 fe80::5054:ff:fe3f:92f  prefixlen 64  scopeid 0x20<link>
        inet6 2a0a:2b41:e:5b::  prefixlen 64  scopeid 0x0<global>
        ether 52:54:00:3f:09:2f  txqueuelen 1000  (Ethernet)
        RX packets 19739423  bytes 1442439125 (1.3 GiB)
        RX errors 0  dropped 0  overruns 0  frame 0
        TX packets 40597  bytes 4578775 (4.3 MiB)
        TX errors 0  dropped 0 overruns 0  carrier 0  collisions 0

lo: flags=73<UP,LOOPBACK,RUNNING>  mtu 65536
        inet 127.0.0.1  netmask 255.0.0.0
        inet6 ::1  prefixlen 128  scopeid 0x10<host>
        loop  txqueuelen 1000  (Local Loopback)
        RX packets 6  bytes 416 (416.0 B)
        RX errors 0  dropped 0  overruns 0  frame 0
        TX packets 6  bytes 416 (416.0 B)
        TX errors 0  dropped 0 overruns 0  carrier 0  collisions 0

На lo вешал следующей командой.

ip -6 route add local 2a0a:2b41:e:5b::/64 dev lo

Сама сеть.

IPv6: 2a0a:2b41:e:5b::/64

IPv6 настроен по идее верно.

-bash-4.2# curl -6 -L ifconfig.co
2a0a:2b41:e:5b::
-bash-4.2# ping6 ifconfig.co
PING ifconfig.co(2606:4700:3036::6815:1956 (2606:4700:3036::6815:1956)) 56 data bytes
64 bytes from 2606:4700:3036::6815:1956 (2606:4700:3036::6815:1956): icmp_seq=1 ttl=60 time=11.1 ms
64 bytes from 2606:4700:3036::6815:1956 (2606:4700:3036::6815:1956): icmp_seq=2 ttl=60 time=10.8 ms
64 bytes from 2606:4700:3036::6815:1956 (2606:4700:3036::6815:1956): icmp_seq=3 ttl=60 time=13.1 ms
^C
--- ifconfig.co ping statistics ---
3 packets transmitted, 3 received, 0% packet loss, time 2008ms
rtt min/avg/max/mdev = 10.827/11.698/13.143/1.036 ms

Ну и если пытаться даже пропинговать адрес из сети, то будет timed_out, ну точнее потеря пакетов просто.

-bash-4.2# ping6 -c 10 -I 2a0a:2b41:e:5b::1 ifconfig.co
PING ifconfig.co(2606:4700:3036::6815:1956 (2606:4700:3036::6815:1956)) from 2a0a:2b41:e:5b::1 : 56 data bytes
^C
--- ifconfig.co ping statistics ---
10 packets transmitted, 0 received, 100% packet loss, time 9242ms

Но это из-за включенного net.ipv6.ip_nonlocal_bind, без него пишет ошибку, что такого адреса нет на интерфейсе.

Куда копать? Может быть с конкретным хостером проблема? Но сами адреса по отдельности их добавлять, то работают.

[Александр Карабанов]

В CentOS есть SELinux может быть он мешает. Попробуй отключить.

[Кристофер Картер]

Александр Карабанов, отключен.

-bash-4.2# cat /etc/sysconfig/selinux

# This file controls the state of SELinux on the system.
# SELINUX= can take one of these three values:
#     enforcing - SELinux security policy is enforced.
#     permissive - SELinux prints warnings instead of enforcing.
#     disabled - No SELinux policy is loaded.
SELINUX=disabled
# SELINUXTYPE= can take one of three values:
#     targeted - Targeted processes are protected,
#     minimum - Modification of targeted policy. Only selected processes are protected.
#     mls - Multi Level Security protection.
SELINUXTYPE=targeted

[Александр Карабанов]

Но скорее всего дело в ширине префикса. Попробуй пропиши

ip -6 route add local 2a0a:2b41:e:5b:8000::/65 dev lo

это половина от твоего /64

И попробуй использовать IP из этой половины.

Старый маршрут сотри ip -6 route d local 2a0a:2b41:e:5b::/64 dev lo

[Кристофер Картер]

Александр Карабанов, Не помогло, даже 2a0a:2b41:e:5b:8000:: не заводится. Но он только в local. Я на другом сервере нашел команды, которые использовались. Там сначала /64 добавили в eth0, а потом другую сеть на local и работает полностью только 32 сеть. Я попросил еще одну сеть на сервер - дали еще одну /64, но такая же схема не прокатила(

ip -6 addr add ****:****:1:****::2/64 dev eth0
ip -6 route add default via ****:****:1:****::1
ip -6 route add local ****:****::/32 dev lo
sysctl net.ipv6.ip_nonlocal_bind=1

[Кристофер Картер]

Александр Карабанов, По поводу старого маршрута - я каждый раз делаю перед (не после, только перед) изменениями systemctl restart network, так что изменения через ip сбрасываются до дефолта можно сказать.

[Александр Карабанов]

Не тут дело в том, что на сервер должна быть выделена большая подсеть, сервер сам для себя, как бы, играет роль роутера. Но тебе выделяют только /64
Надо от этой /64 отрезать кусочек, например 2a0a:2b41:e:5b:8000::/65. И, очень осторожно, надо проанонсировать эти адреса соседям, как предложил Руслан Федосеев, но только если ты прям всё проанонсируешь, скорее всего тебя забанят.

[Александр Карабанов]

https://serverfault.com/questions/590038/adding-a-...

[Станислав Бодро́в]

Александр Карабанов, что за манера такая чуть что отключать selinux? А подумать, разобраться? Логи посмотреть? Посмотреть ,что пишет auditctl?

[Александр Карабанов]

Это личное, никого не призываю так делать.

Answer 3

[Руслан Федосеев]

https://github.com/DanielAdolfsson/ndppd.git

Вот это вам поможет

Comments

[Александр Карабанов]

Это сожрёт память у соседних серверов и его забанят.

[Руслан Федосеев]

Ась? Чего чего оно сделает?

Вообще эта софтинка делает вид, что любой адрес сети есть на интерфейсе.
Лично настраивал прокси, вешал на интерфейс сервера 32 сети. Никаких проблем ни у соседей, ни у сервера....