Padavan/Openwrt/LEDE下实现ipv6 nat /napt66

96
libgcc
2017.05.17 13:03* 字数 1716

目录

  • 环境
  • 方案比选
  • NAT方案

环境

  • 网络 :scut南校区校园网,双栈接入。ipv6无状态自动分配公网地址,不限速不限流不断网,但封掉了80端口;ipv4采用drcom认证(802.1x?),可用scutclient认证,似乎是固定ip,由于大一新生不能开网所以不太了解。
  • 设备:斐讯K2(padavan和PandoraBox固件);品胜AR71xx小路由(Openwrt CC以及LEDE)

即便是不开网,宿舍网口仍可以分配到ipv6的公网ip,只是似乎封掉了80端口,很多网站打不开,但443端口没有封,你可以直接上https的YouTube和google.co.jp(google.com不行,估计是特殊照顾了)

这样,完全可以通过ipv6的各种代理满足上网需求,如vpn,ss等等,然而国内的vps商普遍没有ipv6,所以必须选择香港或者境外的vps或者代理商。在这里我使用的是linode还有vultr,也曾经试过digitalocean,不过这家喜欢动不动就封账号,现在也不敢用了。

这样可以解决大部分上网需求,不过要想让路由器内的手机,电脑也能拥有原生的ipv6(虽然是不能访问80端口的残废)以访问一些特殊资源,如北邮iptv(https://tv.byr.cn 少数支持ipv6+https的iptv),免vps流量看YouTube(直接走ipv6而不经代理),就还需要再折腾一下。


两种方案

  • 中继方案:使用6relayd,odhcpd等,让路由器内的设备获取2xxx开头的公网ipv6地址
  • NAT方案:使用nat6/napt66+radvd/odhcpd,让路由器内的设备获取内网ipv6地址,然后路由器做NAT转发

据说6relayd有缺陷,现在也已经不在op/cc的软件包列表里了(用odhcpd代替了),padavan的entware倒是还有6relayd。经过数日折腾,虽然能让内网设备获取到公网ipv6地址,但是链接并不稳定,看iptv过一会就会卡住,遂放弃6relayd。
然后去lede折腾odhcpd中继,也能让内网设备获取到ipv6公网ip,但是上不了网,不知原因所在,最终放弃了中继方案。


NAT方案

Padavan+NAPT66

如果你使用的是我的Padavan固件,请直接查看使用教程中关于NAPT66配置的部分,如果你想让自己编译的Padavan固件支持NAPT66,请继续往下看:

Padavan的Linux内核原生不支持ipv6的NAT;
NAPT66是北邮学生开发的在较旧内核的Linux上实现ipv6 nat的内核模块;
项目地址:https://github.com/mzweilin/napt66
要想使用NAPT66,需要对内核代码做修改,参考:
http://www.jianshu.com/p/3a9ec169336e

捕获.PNG

接着修改napt66的Makefile:我的工具链在/opt/rt-n56u/toolchain-mipsel/toolchain-3.4.x/,内核源码在/opt/rt-n56u/trunk/linux-3.4.x ,修改为:

PWD  := $(shell pwd)
KDIR := /opt/rt-n56u/trunk/linux-3.4.x

obj-m := napt66.o
napt66-objs := napt66_main.o napt66_conntrack.o napt66_nat.o napt66_hash_table.o napt66_ftp_alg.o

all:
    make -C $(KDIR) M=$(PWD) modules ARCH=mips CROSS_COMPILE=/opt/rt-n56u/toolchain-mipsel/toolchain-3.4.x/bin/mipsel-linux-uclibc-
clean:
    rm -rf .*.cmd *.o *.mod.c *.ko .tmp_versions *.symvers *.order

注意,编译NAPT66时首先要编译好工具链,并且要完整编译过一次固件并且未执行./clear_tree才能成功

把napt66.ko拷贝到/opt或者/etc/storage,加载模块:

insmod /opt/napt66.ko wan_if=eth2.2  #napt66.ko的路径,wan_if=WAN口名称

要想每次开机自动加载,只需要在/opt/etc/init.d/S01system的func_start()内加入这行命令即可(不要添加在自定义设置-脚本-启动后中,因为该脚本执行时可能还没有挂载上/opt

S01system

至此NAPT66已经安装完成,接下来是路由器上的配置。

外部网络(WAN) - IPv6设置,可按下图设置:

05.png

注意其中的IPv6内网地址一栏,如果设置成图中的fc00:101:101::1的话,当访问ipv4和ipv6双栈接入的网站时,大多数浏览器会忽略v6地址而默认使用v4地址;如果将IPv6内网地址设置成2开头的公网地址或保留地址(例如dc00:101:101::1),大多数浏览器就会默认使用v6地址,所以推荐采用dc00:101:101::1作为IPv6内网地址
DNSv6服务器地址可以使用240c::6666

最后把ip6tables禁用,在自定义设置 - 脚本 - 防火墙规则中,加入

ip6tables -F
ip6tables -P INPUT ACCEPT
ip6tables -P FORWARD ACCEPT
ip6tables -P OUTPUT ACCEPT

重启路由器,手机/电脑启用ipv6并且设置为自动获取,看能否获取到ipv6地址:


ipv6.PNG

用浏览器访问[fc00:101:101::1][dc00:101:101::1],测试能否进入路由器页面
最后用浏览器访问 https://bt.byr.cn/
enjoy


OpenWrt 18.06.1 可用的简单配置方法

这是在Openwrt 18.06.1 里测试通过的简单配置方法,如果此方法不能在你的固件里正常使用,请看下一节

  • 首先,ssh登入,安装kmod-ipt-nat6
opkg update
opkg install kmod-ipt-nat6
  • 关闭sourcefilter
uci set network.wan6.sourcefilter=0
uci commit network
ifup wan6
  • 设置IPv6 ULA前缀,这里的地址前缀会分配给内网主机,可设置为dc00:101:101::/48,这样大多数浏览器会优先使用IPv6,如果设置为fc00:101:101::/48,则大多数浏览器会优先使用IPv4:
ULA
  • 设置LAN的DHCPv6服务器,勾选"总是通告默认路由":
DHCPD
  • 如果你的网络没有分配IPv6 DNS,那就给wan6手动指定一个:
DNS
  • 最后在"网络-防火墙-自定义规则"中加入NAT规则,eth0.2要改成你自己的wan网卡名:
    ip6tables -t nat -A POSTROUTING -o eth0.2 -j MASQUERADE
NAT
  • 保存配置,重启路由

OpenWrt / LEDE / PandoraBox + ipv6 nat

参考:http://blog.csdn.net/cod1ng/article/details/45421025
ip6tables -t nat -A POSTROUTING -o eth0.2 -j MASQUERADE中,eth0.2要改成你自己的网卡名;
特别注意,如果将lan的v6地址设置成上文中的fc00:100:100:1::1/64的话,当访问ipv4和ipv6双栈接入的网站时,大多数浏览器会忽略v6地址而默认去连v4地址;如果设置成2开头的公网地址或者ipv6保留地址(如dc00:100:100:1::1/64),大多数浏览器就会默认去连接v6地址,所以推荐使用dc00:100:100:1::1/64

如果路由器自身能获取到ipv6地址却无法ping通外网ipv6(多半是PandoraBox),请尝试如下操作:

uci set network.wan6.sourcefilter=0
uci commit network
ifup wan6

另外,如果按照上文配置后内网机器能Ping通ipv6但是无法上网,可能是因为ip6tables阻断,需要关闭ip6tables

ip6tables -F
ip6tables -P INPUT ACCEPT
ip6tables -P FORWARD ACCEPT
ip6tables -P OUTPUT ACCEPT

日记本
Web note ad 1