[{"template":"item","lang":"zh-CN","langs":["en","zh-CN"],"summary":{"raw":"这么多年过去了，仍然有 ISP 不提供 IPv6。虽然可以使用 HE 的服务免费获得 IPv6 地址，但其速度和稳定性实在影响体验。本文以实操示例讲解如何建立自己的 IPv6 隧道服务器。","html":"

这么多年过去了，仍然有 ISP 不提供 IPv6。虽然可以使用 HE 的服务免费获得 IPv6 地址，但其速度和稳定性实在影响体验。本文以实操示例讲解如何建立自己的 IPv6 隧道服务器。

\n"},"visible":true,"routable":true,"title":"手动建立自己的 IPv6 Tunnel 服务","comment":{"enabled":true,"reply":true},"discuss":{"enabled":true},"keywords":["IPv6隧道","自建IPv6隧道","he-ipv6","自建TunnelBroker","tunnelbroker.net","dmit ipv6"],"webmention":{"enabled":true,"accept":true,"callback":{"secret":{"hash":{"sha256":"44bb9da44b424c6dfc9233819e907029ff2ccdfaa89919d3696ddf8db7ff6647"}}}},"pingback":{"enabled":true,"accept":true},"slug":"manually-establish-your-own-ipv6-tunnel","taxonomy":{"category":["Internet"],"tag":["IPv6","VPS","dmit.io","NDPPD"],"series":[]},"route":"/manually-establish-your-own-ipv6-tunnel/","toc":{"enabled":true},"published":{"date":"2024-02-16 02:16"},"modified":{"date":"2024-07-19T04:00:32.694Z"},"data":{},"license":"CC-BY-ND-4.0","author":[{"email":{"value":{"encrypted":"ODgyZjdiZDg4OTVmMjllOGZkNmFmYg==","algorithm":"aes-256-gcm","iv":"067f6d66f2ba5dd50c8443be"},"hash":{"md5":"8770854a9222b6bf1ee195220793bcf1"}},"url":"https://dallas.lu","name":"达拉斯・卢","lang":"zh-CN","user":"dallaslu"}],"contributor":[],"sponsor":[],"image":[],"audio":[],"video":[],"photo":[],"content":{"html":"

\n\n

目前我的一台独立服务器没有可用的 IPv6，而我买的 Dmit 家的 VPS 有原生的 IPv6 /64 地址。两地 PING 值大约 4ms,TunnelBroker 上的免费节点的网络情况则比这糟很多。既然我有用不尽的 IPv6 地址，何不建立一个自己的隧道服务器呢？

网络情况

先列出网络情况。

其中 Dmit VPS 作为服务器，以下简称为 Server：

IPv4: 11.11.11.11
IPv6: 2024:2:16:2::/64
出口网卡：eth0

纯 IPv4 的服务器作为客户端，以下简称为 Client:

IPv4: 22.22.22.22

计划建立一个子网，为 Client 配置一个 IP 2024:2:16:2:1::2，为 Server 增加一个 IP 2024:2:16:2::1 作为子网的网关。

实际上，这也是开启 IPv6 隧道服务器的最小配置，只需要 Server 上有三个可用的 IPv6 地址即可¹。

建立隧道

Server 配置

ip tunnel add sit1 mode sit remote 22.22.22.22 local 11.11.11.11 ttl 255\nip link set sit1 up\n

Client 配置

ip tunnel add dmit-ipv6 mode sit remote 11.11.11.11 local 22.22.22.22 ttl 255\nip link set dmit-ipv6 up\n

Server 和 Client 的 ip tunnel 指令的 remote 和 local 刚好是镜像的。

配置地址与路由

Server 配置

ip addr add 2024:2:16:2:1::1/80 dev sit1\nip route add 2024:2:16:2:1::2 dev sit1\n

Client 配置

ip addr add 2024:2:16:2:1::2/80 dev dmit-ipv6\nip route add ::/0 dev dmit-ipv6\n

检查网络

理论上来讲，现在两个节点可以用新增加的 IP 互相通讯了。

# on server\nping -6 2024:2:16:2:1::2\n

# on client\nping -6 2024:2:16:2:1::1\n

为 Client 转发流量

传出流量

编辑 /etc/sysctl.conf，增加：

net.ipv6.conf.sit1.forwarding=1\n

如果安全策略允许，也可：

net.ipv6.conf.all.forwarding=1\n

sysctl -p\n

传入流量

隧道服务器需要使用邻居通告，将流量转发给 Client，需要启用 NDP 代理。编辑 /etc/sysctl.conf，增加：

net.ipv6.conf.sit1.proxy_ndp=1\n

如果安全策略允许，也可：

net.ipv6.conf.all.proxy_ndp=1\n

sysctl -p\nip -6 neigh add proxy 2024:2:16:2:1::2 dev eth0\n

建立多个 Tunnel

简单地重复上述操作即可。或者：

重复利用 Tunnel

如果继续接入一个新的 Client1 (IPv4: 33.33.33.33)，则可以完整地重复以上步骤。或者在Server上建立一个可重复利用的 tunnel 定义。

ip tunnel add sit-any mode sit remote any local 11.11.11.11 ttl 255\nip link set sit-any up\nip -6 addr add 2024:2:16:2:1::1/80 dev sit-any\nip -6 route add 2024:2:16:2:1::2 via ::22.22.22.22 dev sit-any\nip -6 route add 2024:2:16:2:1::3 via ::33.33.33.33 dev sit-any\n

注意，这里设置了 remote any，意味着互联网上任意主机均可与 Server 建立隧道，为避免被滥用，可使用防火墙添加规则，在接口 sit-any 中只接受来自指定 IPv4 地址数据。

iptables -A INPUT -p ipv6 -i sit-any -s 22.22.22.22 -j ACCEPT\niptables -A INPUT -p ipv6 -i sit-any -s 33.33.33.33 -j ACCEPT\n#...\niptables -A INPUT -p ipv6 -i sit-any -j DROP\n

在 Client 上的配置：

ip tunnel add dmit-ipv6 mode sit remote 11.11.11.11 local 22.22.22.22 ttl 255\nip link set dmit-ipv6 up\nip addr add 2024:2:16:2:1::2/80 dev dmit-ipv6\nip route add ::/0 via 2024:2:16:2:1::1 dev dmit-ipv6\n

在 Client1 上的配置：

ip tunnel add dmit-ipv6 mode sit remote 11.11.11.11 local 33.33.33.33 ttl 255\nip link set dmit-ipv6 up\nip addr add 2024:2:16:2:1::3/80 dev dmit-ipv6\nip route add ::/0 via 2024:2:16:2:1::1 dev dmit-ipv6\n

Server 上的传出流量配置 /etc/sysctl.conf：

net.ipv6.conf.sit-any.proxy_ndp=1\n

Server 上的传入流量配置：

ip -6 neigh add proxy 2024:2:16:2:1::2 dev eth0\nip -6 neigh add proxy 2024:2:16:2:1::3 dev eth0\n

NDP 代理只支持明确指定的单个 IPv6 地址，不支持网段。要么使用多条 ip -6 neigh add proxy语句，要么换成支持网段的 NDPPD。

apt install ndppd\n

编辑 /etc/ndppd.conf

route-ttl 30000\naddress-ttl 30000\nproxy eth0 {\n   router yes\n   timeout 500\n   autowire no\n   keepalive yes\n   retries 3\n   promiscuous no\n   ttl 30000\n   rule 2024:2:16:2:1::/80 {\n      static\n      autovia no\n   }\n}\n

systemctl enable --now ndppd\n

将整个 /80 子网 IP 分配给 Client

Server 上有用不完的 IP，若只能分配给隧道单独一个 IPv6，未免太小气了。TunnelBroker 都是给整个子网的。在 Server 上操作

ip tunnel add sit-any mode sit remote any local 11.11.11.11 ttl 255\nip link set sit-any up\nip -6 addr add 2024:2:16:2:1::1/72 dev sit-any\nip -6 route add 2024:2:16:2:2::/80 via ::22.22.22.22 dev sit-any\nip -6 route add 2024:2:16:2:3::/80 via ::33.33.33.33 dev sit-any\n

/etc/ndppd.conf

route-ttl 30000\naddress-ttl 30000\nproxy eth0 {\n   router yes\n   timeout 500\n   autowire no\n   keepalive yes\n   retries 3\n   promiscuous no\n   ttl 30000\n   rule 2024:2:16:2:2::/80 {\n      static\n      autovia no\n   }\n   rule 2024:2:16:2:3::/80 {\n      static\n      autovia no\n   }\n}\n

在 Client 上的配置：

ip tunnel add dmit-ipv6 mode sit remote 11.11.11.11 local 22.22.22.22 ttl 255\nip link set dmit-ipv6 up\nip addr add 2024:2:16:2:2::/80 dev dmit-ipv6\nip route add ::/0 via 2024:2:16:2:1::1 dev dmit-ipv6\n

在 Client1 上的配置：

ip tunnel add dmit-ipv6 mode sit remote 11.11.11.11 local 33.33.33.33 ttl 255\nip link set dmit-ipv6 up\nip addr add 2024:2:16:2:3::/80 dev dmit-ipv6\nip route add ::/0 via 2024:2:16:2:1::1 dev dmit-ipv6\n

结语

至此配置完成。如果不可用，请检查防火墙。如果整个网络正常，则应考虑将隧道、IP 地址、路由等配置进行持久化，以免网络中断或系统重启后隧道失效。比如，Ubuntu 中可使用 netplan，Debian 等系统可以将 ip 命令写在 /etc/network/interfaces 中。

如果对安全性有更高要求，可以使用 IPsec 建立隧道连接。

参考

\n
Xiaodu. Setting up your own IPv6 Tunnel. Xiaodu Blog. 2020 ↩
\n

\n","headings":[{"level":2,"text":"网络情况","id":"网络情况"},{"level":2,"text":"建立隧道","id":"建立隧道"},{"level":3,"text":"Server 配置","id":"server-配置"},{"level":3,"text":"Client 配置","id":"client-配置"},{"level":2,"text":"配置地址与路由","id":"配置地址与路由"},{"level":3,"text":"Server 配置","id":"server-配置-1"},{"level":3,"text":"Client 配置","id":"client-配置-1"},{"level":2,"text":"检查网络","id":"检查网络"},{"level":2,"text":"为 Client 转发流量","id":"为-client-转发流量"},{"level":3,"text":"传出流量","id":"传出流量"},{"level":3,"text":"传入流量","id":"传入流量"},{"level":2,"text":"建立多个 Tunnel","id":"建立多个-tunnel"},{"level":3,"text":"重复利用 Tunnel","id":"重复利用-tunnel"},{"level":2,"text":"将整个 /80 子网 IP 分配给 Client","id":"将整个-80-子网-ip-分配给-client"},{"level":2,"text":"结语","id":"结语"}],"meta":{"prism":true},"links":[{"href":"https://dmit.io","type":"mention"},{"href":"https://tunnelbroker.net","type":"mention"},{"href":"https://github.com/DanielAdolfsson/ndppd","type":"mention"},{"href":"https://www.cycloptivity.net/building-your-own-ipv6-tunnel/","type":"mention"},{"href":"https://t.du9l.com/2020/12/setting-up-your-own-ipv6-tunnel/","type":"mention"}]},"newer":"/sync-tabby-config-with-a-self-hosted-tabby-web/","earlier":"/pve-network-manual-config-and-ipv6/"},{"template":"item","lang":"zh-CN","langs":["en","zh-CN"],"summary":{"raw":"独立服务器主机商提供了一个 IPv4 地址，以及 /64 的 IPv6 地址。尽管额外购买了 IPv4 地址，但并不够用。有几个虚拟机本身并不需要公共的 IPv4 地址，只需要能访问 IPv4 和 IPv6 网络即可，比如监控服务。另有一些临时测试服务，也可能只需要 IPv6 地址。本文记述一台独立服务器上 PVE 的网络配置，尤其是 IPv6 部分，方便虚拟机同时拥有内网 IPv4 地址和公网 IPv6 地址。","html":"

独立服务器主机商提供了一个 IPv4 地址，以及 /64 的 IPv6 地址。尽管额外购买了 IPv4 地址，但并不够用。有几个虚拟机本身并不需要公共的 IPv4 地址，只需要能访问 IPv4 和 IPv6 网络即可，比如监控服务。另有一些临时测试服务，也可能只需要 IPv6 地址。本文记述一台独立服务器上 PVE 的网络配置，尤其是 IPv6 部分，方便虚拟机同时拥有内网 IPv4 地址和公网 IPv6 地址。

\n"},"visible":true,"routable":true,"title":"在 PVE 手动配置网络及虚拟机 IPv6 公网","comment":{"enabled":true,"reply":true},"discuss":{"enabled":true},"keywords":["PVE 虚拟机 IPv6 上网","PVE IPv6 支持","PVE 共享 IPv4","PVE 独享 IPv6"],"webmention":{"enabled":true,"accept":true,"callback":{"secret":{"hash":{"sha256":"44bb9da44b424c6dfc9233819e907029ff2ccdfaa89919d3696ddf8db7ff6647"}}}},"pingback":{"enabled":true,"accept":true},"slug":"pve-network-manual-config-and-ipv6","taxonomy":{"category":["Internet"],"tag":["PVE","IPv6","NDPPD"],"series":[]},"route":"/pve-network-manual-config-and-ipv6/","toc":{"enabled":true},"published":{"date":"2024-02-15 15:02"},"modified":{"date":"2024-07-28T15:12:05.775Z"},"data":{},"license":"CC-BY-NC-SA-4.0","author":[{"email":{"value":{"encrypted":"ODgyZjdiZDg4OTVmMjllOGZkNmFmYg==","algorithm":"aes-256-gcm","iv":"067f6d66f2ba5dd50c8443be"},"hash":{"md5":"8770854a9222b6bf1ee195220793bcf1"}},"url":"https://dallas.lu","name":"达拉斯・卢","lang":"zh-CN","user":"dallaslu"}],"contributor":[],"sponsor":[],"image":[],"audio":[],"video":[],"photo":[],"content":{"html":"

\n\n

PVE 自身网络 vmbr0 配置

PVE 会默认创建 vmbr0，桥接了第一个物理端口。需要确认一下，已插入网线的端口是哪一个，也许不是 eno1 而是 eno2。我曾在此处浪费了半个多小时。

公网 IPv4 的配置

主机商提供了明确的配置信息，假设是：

\n
IPv4: 1.2.3.4/30
\nIPv4 Gateway: 1.2.3.1
\nIPv6: 1:2:3:4::/64
\nIPv6 Gateway: 1:2:3:4::1
\n

使用 IPMI 或 VNC 连接至服务器，编辑 /etc/network/interfaces：

auto vmbr0\niface vmbr0 inet static\n        address 1.2.3.4/30\n        gateway 1.2.3.1\n        bridge-ports eno1\n        bridge-stp off\n        bridge-fd 0\n

然后重启网络：

systemctl restart networking\n

访问 https://1.2.3.4:8006 即可访问 PVE 的控制面板^注1。接下来的操作都可在 PVE 控制面板完成。

PVE 自身 IPv6 配置

编辑 vmbr0 的配置，已经在界面上看到刚刚的 IPv4 配置，继续设置 IPv6：

IPv6/CIDR: 1:2:3:4::a/64
IPv6 网关: 1:2:3:4::1

保存后应用更改，可通过 https://ping6.ping.pe 来验证 1:2:3:4::a/64 是否可从外部访问，以及在 PVE 节点 shell 中检查是否可通过 IPv6 连接互联网。

# Google DNS\nping6 2001:4860:4860::8888\n

其他

网络正常使用后，即可进行其他依赖网络的操作，比如加入另一机房的 PVE 集群等。

如果一台虚拟机需要使用额外的独立 IP，可直接连接到默认建立的 vmbr0，然后按主机商提供的信息配置网络地址即可连接 IPv4 和 IPv6 网络。因为 vmbr0 桥接了已插入网线的物理端口，基于此网络直接配置公网 IP 地址即可，无需其他操作。

配置虚拟机专用桥接网络 vmbr1

更多的时候，虚拟机不需要公网 IPv4，只需 NAT 内网地址或者 IPv6。所以在 PVE 的节点上添加一个桥接网络（Linux Bridge）vmbr1：

IPv4/CIDR: 1.0.0.1/16
IPv6/CIDR: 1:2:3:4:a::1/80

如果打算使用 VLAN，此处的地址信息可填可不填。如果有临时开测试虚拟机的需要，就以此作为默认的测试网络，此 IPv4 地址即为虚拟机的 IPv4 网关，IPv6 亦同。

在 vmbr0 中，虚拟机可以任意选择一个可用范围内的 IPv6 地址，而在 vmbr1 中，我们希望虚拟机只使用其中一个子网段^注2。选择了 1:2:3:4:aa::/80 中的第一个地址。

配置 VLAN

在 vmbr1 中，开启 VLAN 感知（VLAN aware）。新建桥接网络，比如 vmbr1.100，VLAN 标记即为 100。配置如下：

IPv4/CIDR: 1.0.100.1/24
IPv6/CIDR: 1:2:3:4:a:100::1/96

我们希望接入标记为 100 的 VLAN 的虚拟机，只使用更小范围的网段 1.0.100.0/24 和 1:2:3:4:a:100::/96 范围内的地址^注3。

配置虚拟机

这里选择了一个 CT 实例来测试虚拟机的网络配置，好处是可在 PVE 控制面板直接设置网络，非常方便。编辑网络信息：

桥接：vmbr1
VLAN 标记：100
IPv4：静态
IPv4/CIDR: 1.0.100.100/24
IPv4 网关：1.0.100.1
IPv6：静态
IPv6/CIDR: 1:2:3:4:a:100::100/96
IPv6 网关：1:2:3:4:a:100::1

此时虚拟机与 PVE 可互相 ping 来测试网络。

配置 IPv4 NAT

目前虚拟机还不能通过 IPv4 访问网络，需要连接到 PVE 节点 shell，编辑 /etc/network/interfaces，为 vmbr1 添加 'post' 开头的语句：

iface vmbr1 inet static\n        address 10.0.0.1/16\n        bridge-ports none\n        bridge-stp off\n        bridge-fd 0\n        bridge-vlan-aware yes\n        bridge-vids 2-4094\n        post-up sysctl -w net.ipv4.ip_forward=1\n        post-up iptables -t nat -A POSTROUTING -s '10.0.0.0/16' -o vmbr0 -j MASQUERADE\n        post-down iptables -t nat -D POSTROUTING -s '10.0.0.0/16' -o vmbr0 -j MASQUERADE\n

保存后重启网络^注4。

配置 IPv6 转发及 NDP 代理

编辑 /etc/network/interfaces，为 vmbr1 添加 'post' 开头的语句：

iface vmbr1 inet6 static\n        address 1:2:3:4:a::1/80\n        post-up sysctl -w net.ipv6.conf.default.forwarding=1\n        post-up sysctl -w net.ipv6.conf.all.forwarding=1\n        post-up sysctl -w net.ipv6.conf.default.proxy_ndp=1\n        post-up sysctl -w net.ipv6.conf.all.proxy_ndp=1\n

保存重启网络。PVE 会自动创建相关路由，可通过 ip -6 route 查看。如果缺少相关路由¹，可手动添加：

ip -f inet6 route add 1:2:3:4:100::100 dev vmbr1.100\n

注意重启后可能会消失，自行加入启动脚本或 /etc/network/interfaces 相关接口的 post-up 语句中。

至此外部尚不能连接 vmbr1、vmbr1.100 以及虚拟机上配置的 IPv6 地址。添加 NDP 代理：

# vmbr1\nip -f inet6 neigh add proxy 1:2:3:4:a::1 dev vmbr0\n# vmbr1.100\nip -f inet6 neigh add proxy 1:2:3:4:a:100::1 dev vmbr0\n# 虚拟机\nip -f inet6 neigh add proxy 1:2:3:4:a:100::100 dev vmbr0\n

可通过 ip -6 neigh show proxy 查看。如网络不通，可尝试刷新 ndp 缓存：ip -6 neigh flush all。

NDPPD

未来添加虚拟机时，还会需要手动添加 NDP 代理。可通过 NDPPD 一劳永逸。

apt install ndppd\n

编辑 /etc/ndppd.conf：

proxy vmbr0 {\n        rule 1:2:3:4::/64 {\n                auto\n        }\n}\n

启用 NDPPD

systemctl enable --now ndppd\n

其他

家庭宽带网络环境不适用本文方案，可使用 DHCP/SLAAC 等方式为虚拟机直接自动配置 IPv6²³。

注释

\n
有时手动更改 PVE 的网络配置，重启网络也没有效果，可尝试重启 PVE 节点。 ↩
\n
\n
如果需要限制 vmbr1 或 vmbr1.100 中的虚拟机仅能使用规划网段的地址，可为其添加防火墙规则，抛弃非规划网段的数据。 ↩
\n
\n
本案例中，三个接口中分别配置了不同的子网网段，以避免路由冲突。 ↩
\n
\n
为了从外部 IPv4 地址连接 NAT 网络中的虚拟机，可能需要在 PVE 中配置端口转发。 ↩
\n

参考

\n
coldark. 单IPv4独服利用ProxmoxVE建立IPv4-NAT和IPv6虚拟机（小鸡）. 方舟基地. 2019. 「……这时只能访问IPv4地址，IPv6这个时候还是不通的，需要在主机输入以下命令开启:... ip -f inet6 route add ...」 ↩
\n
\n
Insylei. PVE Proxmox VE 使用IPv6. 自由de风. 2023. ↩
\n
\n
bruj0. ProxmoxIPv6. Github. 46d1aac. 2023. ↩
\n

\n","headings":[{"level":2,"text":"PVE 自身网络 vmbr0 配置","id":"pve-自身网络-vmbr0-配置"},{"level":3,"text":"公网 IPv4 的配置","id":"公网-ipv4-的配置"},{"level":3,"text":"PVE 自身 IPv6 配置","id":"pve-自身-ipv6-配置"},{"level":3,"text":"其他","id":"其他"},{"level":2,"text":"配置虚拟机专用桥接网络 vmbr1","id":"配置虚拟机专用桥接网络-vmbr1"},{"level":3,"text":"配置 VLAN","id":"配置-vlan"},{"level":3,"text":"配置虚拟机","id":"配置虚拟机"},{"level":3,"text":"配置 IPv4 NAT","id":"配置-ipv4-nat"},{"level":3,"text":"配置 IPv6 转发及 NDP 代理","id":"配置-ipv6-转发及-ndp-代理"},{"level":3,"text":"NDPPD","id":"ndppd"},{"level":2,"text":"其他","id":"其他-1"}],"meta":{"prism":true},"links":[{"href":"https://ping6.ping.pe","type":"mention"},{"href":"https://www.wnark.com/archives/32.html","type":"mention"},{"href":"https://www.icn.ink/pve/57.html","type":"mention"},{"href":"https://github.com/bruj0/ProxmoxIPv6","type":"mention"},{"href":"https://github.com/bruj0/ProxmoxIPv6/tree/46d1aac3f0a43102848b69e36aebcf0a18964e14","type":"mention"}]},"newer":"/manually-establish-your-own-ipv6-tunnel/","earlier":"/pve-reduce-ubuntu-vm-disk-size/"}]

标签: NDPPD

手动建立自己的 IPv6 Tunnel 服务

在 PVE 手动配置网络及虚拟机 IPv6 公网

2024