Как скрыть MAC при IPv6 forwarding?

Question

[Fixid]

Добрый день.
Имеется Proxmox на Debian 9. С типичной сетевой настройкой:

spoiler

auto lo
iface lo inet loopback
iface lo inet6 loopback

auto enp0s31f6
iface enp0s31f6 inet manual

auto vmbr0
iface vmbr0 inet static
address 99.999.99.118
netmask 255.255.255.192
gateway 99.999.99.129
bridge_ports enp0s31f6
bridge_stp off
bridge_fd 0
up route add -net 99.999.99.0 netmask 255.255.255.192 gw 99.999.99.129 dev vmbr0

iface vmbr0 inet6 static
address 2a01:aaaa:bbb:ccc::2
netmask 64
gateway fe80::1

auto vmbr1
iface vmbr1 inet static
address 10.10.0.1
netmask 255.255.255.0
bridge_ports none
bridge_stp off
bridge_fd 0
post-up echo 1 > /proc/sys/net/ipv4/ip_forward
post-up echo 1 > /proc/sys/net/ipv6/conf/all/forwarding
post-up iptables -t nat -A POSTROUTING -o vmbr0 -j MASQUERADE
post-up iptables -t nat -A POSTROUTING -s '10.10.0.0/24' -o vmbr0 -j MASQUERADE
post-down iptables -t nat -D POSTROUTING -s '10.10.0.0/24' -o vmbr0 -j MASQUERADE

iface vmbr1 inet6 static
address 2a01:aaa:bbb:ccc::5
netmask 64
gateway 2a01:aaa:bbb:ccc::2

Сегодня прилетело письмо счастья что я свечу MAC адреса виртуалок с IPv6 в сеть и надо бы их скрыть.
Виртуалки подключены через мост vmbr0:

spoiler

iface eth0 inet6 static
address 2a01:aaa:bb:ccc:1:1:1:1
netmask 64
gateway 2a01:aaa:bb:ccc::2

Что я делаю не так?
tcpdump vmbr0 показывает эти MAC
На enp0s31f6 эх не видно

Comments

[Дмитрий Шицков]

IPv6 используется, есть арендованные адреса?
Интересно было бы увидеть содержимое письма. Не понимаю, чего плохо в том, что они светятся.

[Fixid]

Дмитрий Шицков, используется, выдана целая /64 подсеть
В письме ничего интересного

spoiler

We have noticed that you have been using other MAC addresses in addition
to the allowed at your account.
Please take all necessary measures to avoid this in the future and to
solve the issue.

Хостер выдает IPv4 по DHCP на основе MAC
т.е. мои MAC теоретически им мешаются и я могу случайно получить чей то IPv4

[Дмитрий Шицков]

Fixid, уберите виртуалки в другой бридж, в тот который в интернет не будет смотреть.

[Fixid]

Дмитрий Шицков, пробовал, переключал на vmbr1, проблема сохраняется.
Но мне нужен именно IPv6 на виртуалках

[Дмитрий Шицков]

Fixid, в письме есть упоминание, что должны светиться лишь разрешенные маки. Т.е. у ваших виртуалок должны быть разрешеные маки, либо изолируйте их в друго бридже и форвардите трафик на них с разрешенного MAC.

[Fixid]

Дмитрий Шицков, закинул в отдельный бридж, выдал бриджу свой IPv6 с разрешенного MAC.
Указал в виртуалке в качестве gateway IPv6 отдельного бриджа, не помогло

[Дмитрий]

Мне думается, что вы должны не бриджевать виртуалки с внешним миром, а поставить нормальный роутер между внешним миром и виртуалками. Т.е. схема такая isp-router-vmbrN-vm.

[fpir]

Дмитрий, насколько я знаю, в ipv6 роутер-то есть, а вот шлюза нет, маршрутизация сквозная, и роутер всегда анонсит ip6 адреса за собой во внешнюю сеть. Хотя маки он анонсить не должен, но ip адреса, которые он анонсит построены на МАК прозрачным образом. Т.е. всегда можно узнать МАК любого уст-ва в сети если сеть настроена согласно протокола.