☰

Xen no Ubuntu 18.04 com IPv4 (NAT) e IPv6

tag-icon • tag-icon ubuntu iptables bridge nat xen
Xen no Ubuntu 18.04 com IPv4 (NAT) e IPv6

Estou alugando um servidor dedicado na Hetzner e instalei nele o servidor Ubuntu 18.04 LTS. Tenho dois endereços IPv4 públicos chamados xxxx e yyyy e um bloco IPv6/64 para conectar minhas redes privadas à Internet. Eu uso NAT para IPv4.

Esquema XEN Minha rede está configurada usando Netplan da seguinte forma:

network:    
  version: 2
  renderer: networkd
  ethernets:
    eth0:
      addresses:
        - x.x.x.x/32
        - y.y.y.y/32
        - a.a.a.a::2/64
      routes:
        - on-link: true
          to: 0.0.0.0/0
          via: z.z.z.z
      gateway6: fe80::1
      nameservers:
        addresses:
          - 1.1.1.1
          - 1.0.0.1
          - 2606:4700:4700::1111
          - 2606:4700:4700::1001
  bridges:
    xenbr0:
      interfaces: []
      addresses:
        - 192.168.0.1/24
        - a.a.a.a::3/64
      parameters:
        forward-delay: 0
        stp: false
    xenbr1:
      interfaces: []
      addresses:
        - 192.168.1.1/24
        - a.a.a.a::4/64
      parameters:
        forward-delay: 0
        stp: false

A instalação e configuração do XEN:

sudo apt-get install xen-hypervisor-amd64 xen-tools
sudo reboot
sudo vim /etc/default/grub
   GRUB_CMDLINE_XEN_DEFAULT="dom0_mem=min:1024M,max:1024M dom0_max_vcpus=2 dom0_vcpus_pin"
sudo vim /etc/xen/xl.conf
   autoballoon=0
sudo update-grub
sudo reboot

As VMs devem ser acessíveis de e para a Internet usando encaminhamento de IP e NAT.

sudo vim /etc/sysctl.conf
   net.ipv4.ip_forward=1
sudo sysctl -p /etc/sysctl.conf
sudo apt-get install iptables-persistent

A parte NAT:

sudo iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE

Encaminhe solicitações HTTP e HTTPS para nosso servidor VM2:

sudo iptables -A PREROUTING -t nat -p tcp -i eth0 -d x.x.x.x --dport 80 -j DNAT --to 192.168.0.11:80
sudo iptables -A PREROUTING -t nat -p tcp -i eth0 -d x.x.x.x --dport 443 -j DNAT --to 192.168.0.11:443

Não queremos nenhum tráfego entre 192.168.0.x <-> 192.168.0.y, então eliminamos todos os pacotes de dados com algumas regras simples. Isso bloqueia a comunicação entre as pontes:

sudo iptables -P FORWARD DROP
sudo iptables -A FORWARD -i eth0 -o xenbr0 -j ACCEPT
sudo iptables -A FORWARD -i xenbr0 -o eth0 -s 192.168.0.0/24 -j ACCEPT
sudo iptables -A FORWARD -i eth0 -o xenbr1 -j ACCEPT
sudo iptables -A FORWARD -i xenbr1 -o eth0 -s 192.168.1.0/24 -j ACCEPT

A parte IPv4 funciona perfeitamente, mas a parte IPv6 não. Atribuí um endereço IPv6 manualmente às minhas VMs. Quando conectado à VM1, posso executar ping em xenbr0 no endereço ::3 e VM2 no endereço ::11, mas não consigo executar ping em eth0 no endereço ::2. É como se a ponte impedisse que o tráfego IPv6 saísse da rede, mas não conseguisse descobrir o porquê.

Responder1

Eu consegui descobrir isso. O segredo é usar um endereço ipv6 com máscara de rede /128 que funcionará como gateway para suas VMs. Vamos começar modificando a configuração do Netplan:

network:    
  version: 2
  renderer: networkd
  ethernets:
    eth0:
      addresses:
        - x.x.x.x/32
        - y.y.y.y/32
        - a.a.a.a::00/128
        - a.a.a.a::10/128
      routes:
        - on-link: true
          to: 0.0.0.0/0
          via: z.z.z.z
      gateway6: fe80::1
      nameservers:
        addresses:
          - 1.1.1.1
          - 1.0.0.1
          - 2606:4700:4700::1111
          - 2606:4700:4700::1001
  bridges:
    xenbr0:
      interfaces: []
      addresses:
        - 192.168.0.1/24
        - a.a.a.a::00/125
      parameters:
        forward-delay: 0
        stp: false
    xenbr1:
      interfaces: []
      addresses:
        - 192.168.1.1/24
        - a.a.a.a::10/125
      parameters:
        forward-delay: 0
        stp: false

Preste atenção aos endereços IPv6 atribuídos às interfaces eth0, xenbr0 e xenbr1. Eth0 obtém dois endereços IPv6 (/128) únicos, enquanto xenbr0 e xenbr1 obtêm um bloco de oito endereços (/125) que podem ser usados ​​para suas VMs. A configuração da rede VM1 é semelhante a esta:

# The loopback network interface
auto lo
iface lo inet loopback
iface lo0 inet6 loopback

# The primary network interface
auto eth0
iface eth0 inet static
    address 192.168.0.10
    netmask 255.255.255.0
    broadcast 192.168.0.255
    network 192.168.0.0
    gateway 192.168.0.1

iface eth0 inet6 static
    address a:a:a:a::01
    netmask 125
    gateway a:a:a:a::00

E configuração do VM3 que usa outra ponte:

# The loopback network interface
auto lo
iface lo inet loopback
iface lo0 inet6 loopback

# The primary network interface
auto eth0
iface eth0 inet static
    address 192.168.1.10
    netmask 255.255.255.0
    broadcast 192.168.1.255
    network 192.168.1.0
    gateway 192.168.1.1

iface eth0 inet6 static
    address a:a:a:a::11
    netmask 125
    gateway a:a:a:a::10

Por último, mas não menos importante, não se esqueça de ativar o encaminhamento de IP para IPv6.

sudo vim /etc/sysctl.conf
    net.ipv6.conf.all.forwarding=1
sudo sysctl -p /etc/sysctl.conf

informação relacionada