Uživatelské nástroje

Nástroje pro tento web


IPv6-only síť s NAT64

Pomocí routeru Turris můžete snadno vytvořit síť, která používá pouze protokol IPv6. Přístup k IPv4 internetu je řešen pomocí překladového mechanizmu NAT64, který v kombinaci s DNS64 vytváří iluzi dostupnosti veškerého obsahu po IPv6. Na IPv6-only síti můžete například otestovat, jak se chovají různá zařízení na síti, která zastaralý protokol IPv4 nepodporuje.

Návod předpokládá router Turris s IPv6 konektivitou.

Vytvoření IPv6-only sítě

  1. Přidejte do /etc/config/network definici nového rozhraní:
    /etc/config/network
    config interface 'lan6'
            option type 'bridge'
            option proto 'static'
            option ip6assign '60'
            option ip6hint '6660'      # volitelně - část adresy
            option 'igmp_snooping' 0   # zakáže filtrování multicastového
    provozu uvnitř bridge, vyřeší některé problémy
  2. Přidejte nové ESSID do konfigurace bezdrátových sítí:
    /etc/config/wireless
    config wifi-iface 'wlan6'
            option device 'radio0'
            option network 'lan6'
            option mode 'ap'
            option ssid 'turris-nat64'
            option encryption 'psk2'
            option key 'IPv6IsDaShit'
  3. Volitelně můžete nakonfigurovat i některé z drátových rozhraní, viz Rozdělení sítě do různých VLAN
  4. Přidejte rozhraní lan6 do zóny lan ve firewallu, případně obdobné zóny.
  5. Nastavte ohlašování směrovače:
    /etc/config/dhcp
    config dhcp 'lan6'
            option interface 'lan6'
            option ignore '1'        # ignoruj pro IPv4 DHCP
            option ra 'server'       # posílej ohlášení směrovače
            option dhcpv6 'server'   # nabízej adresy pomocí DHCPv6
  6. Pomocí ifup lan6 nastartujte rozhraní.
  7. Restartujte službu odhcpd, například pomocí /etc/init.d/odhcpd restart
  8. Pomocí wifi restartujte Wi-Fi

Nyní by měla být k dispozici Wi-Fi síť, která podporuje pouze IPv6, bez jakékoli podpory služeb na IPv4. Vyzkoušejte například na stránce www.nebezi.cz – měla by se zobrazit informace, že jste připojeni do sítě, která starší protokol IPv4 nepodporuje.

NAT64 démon TAYGA

  1. Nainstalujte balíček tayga, například příkazem opkg install tayga
  2. Vložte novou sekci do konfiguračního souboru /etc/config/network. Adresní rozsah 10.64.0.0/16 je možné zvolit libovolně, neměl by se ale překrývat s adresami v jiných sítích. Adresa 2001:db8:1234::64 by měla být nějakou adresou, která je na váš router nasměrována a dosud není nikam přidělena.
    /etc/config/network
    config interface 'nat64'
            option proto 'tayga'
            option ipv4_addr '10.64.0.1'
            option ipv6_addr '2001:db8:1234::64'
            option prefix '64:ff9b::/96'
            option dynamic_pool '10.64.0.0/16'
  3. Přidejte rozhraní nat64 do zóny lan firewallu, případně do obdobné zóny, ve které bude umístěné i rozhraní pro připojení klientů. Důležité je, aby firewall neblokoval předávání (FORWARD) paketů mezi rozhraními zóny.
  4. Restartujte router, nebo přinejmenším síťový subsystém /etc/init.d/network restart (to je nutné, aby netifd načetl podporu pro tayga)
  5. Ověřte, že TAYGA běží příkazem ping na IPv4 a/nebo IPv6 adresu uvedenou v konfiguraci.
  6. Ověřte funkčnost překladu příkazem ping6 na přeloženou IPv4 adresu, například ping6 64:ff9b::8.8.8.8

DNS64

Použití Google Public DNS64

Nejjednodušší možnost spočívá v použití Google Public DNS64.

  1. Pro použití Google Public DNS64 stačí přidat jeho adresu do konfiguračního souboru:
    /etc/config/dhcp
    config dhcp 'lan6'
            option interface 'lan6'
            option ignore '1'        # ignoruj pro IPv4 DHCP
            option ra 'server'       # posílej ohlášení směrovače
            option dhcpv6 'server'   # nabízej adresy pomocí DHCPv6
            list dns '2001:4860:4860::6464'
  2. Restartujte službu odhcpd, například pomocí /etc/init.d/odhcpd restart

Použití DNS64 v serveru Unbound

Funguje pouze na Turris 1.x

Funkce DNS64 je k dispozici i ve validujícím DNS resolveru Unbound, který je běžnou součástí TurrisOS pro routery Turris 1.x. Nevýhoda jeho použití je v tom, že je funkci možné zapnout pouze na globální úrovni. Po aktivaci je tedy DNS64 prováděno i pro dual-stack síť, což vzhledem k omezené výkonnosti NAT64 démona TAYGA může vést k suboptimálnímu výkonu routeru.

  1. Pro aktivaci DNS64 v Unboundu vytvořte nový soubor s tímto obsahem:
    /etc/unbound/unbound-dns64.conf
    server:
            module-config: "dns64 validator iterator"
            dns64-prefix: 64:ff9b::/96
  2. Tento soubor je pak třeba vložit do konfigurace:
    /etc/config/resolver
    config resolver 'unbound_includes'
            list include_path '/etc/unbound/unbound-dns64.conf'
  3. Restartujte službu resolver

Použití DNS64 v serveru Knot DNS resolver

Funguje pouze na Turris Omnia

Funkce DNS64 je k dispozici i ve validujícím DNS resolveru Knot DNS resolver, který je běžnou součástí TurrisOS pro routery Turris Omnia. Nevýhoda jeho použití je v tom, že je funkci možné zapnout pouze na globální úrovni. Po aktivaci je tedy DNS64 prováděno i pro dual-stack síť, což vzhledem k omezené výkonnosti NAT64 démona TAYGA může vést k suboptimálnímu výkonu routeru.

  1. Pro aktivaci DNS64 v Unboundu vytvořte nový soubor s tímto obsahem:
    /etc/kresd/dns64.conf
    modules.load('dns64')
    dns64.config('64:ff9b::')
  2. Tento soubor je pak třeba vložit do konfigurace:
    /etc/config/resolver
    config resolver 'kresd'
            config include_config '/etc/kresd/dns64.conf'
  3. Restartujte službu resolver

Použití samostatného DNS resolveru v kontejneru

Můžete také spustit další instanci DNS resolveru s funkcí DNS64 uvnitř kontejneru LXC. Tímto způsobem je pak možné přidělit DNS server s funkcí DNS64 pouze do IPv6-only sítě.

Testování

Vyzkoušejte stránku http://www.test-ipv6.cz. Měli byste dostat plný počet bodů a poznámku o tom, že byl detekován NAT64.