Простой и понятный NAT64 для Linux
TAYGA - это реализация NAT64 без сохранения состояния вне ядра для Linux, которая использует драйвер TUN для обмена пакетами IPv4 и IPv6 с ядром. Он предназначен для предоставления высококачественного сервиса NAT64 для сетей, в которых выделенное оборудование NAT64 было бы излишним.
TAYGA не нуждается в исправлениях ядра или дополнительных модулях и совместима со всеми ядрами версий 2.4 и 2.6.
NAT64 без сохранения состояния в пользовательском пространстве
Оф. сайт ТАЙГА
Пакет в Debian
ТАЙГА — это:
* Быстрый — может заполнить гигабитный Ethernet на скромном оборудовании ПК
* Гибкость — выполняет динамическое сопоставление для обработки любой схемы адресации сайта
* Безопасно — работает вне ядра как непривилегированный процесс.
* Совместимость — работает со всеми ядрами Linux 2.4 и 2.6
* Простой — требуется всего лишь файл конфигурации из пяти строк (в некоторых случаях из трех строк)
* Простота установки — не требуется никаких исправлений ядра или внешних зависимостей.
* Бесплатно — под лицензией GPLv2
Последняя версия TAYGA — версия 0.9.2, выпущенная 10.06.2011. В этой версии исправлены некоторые неясные ошибки фрагментации и MTU, а также добавлено решение для ошибки в ядрах Linux старше 2.6.34, которая могла приводить к отбрасыванию некоторых транслированных пакетов подсистемой netfilter "conntrack". (Более подробную информацию см. в ошибке Launchpad 788637. )
Супер-быстрый старт
Вам нужно будет выбрать неиспользуемый /96 из диапазона адресов IPv6 вашего сайта, который будет использоваться в качестве префикса NAT64.
Вам также понадобится блок неиспользуемых адресов IPv4 для пула динамических адресов. TAYGA назначит адреса IPv4 из этого пула хостам IPv6, которым требуется служба NAT64.
Динамический пул может быть выбран из частного адресного пространства IPv4 (10.xxx, 192.168.xx и т. д.) и может быть любого размера, хотя он должен быть достаточно большим, чтобы содержать один адрес IPv4 для каждого хоста IPv6, которому необходимо использовать NAT64.
TAYGA также необходим собственный адрес IPv4, но его можно взять из динамического пула адресов.
Установка из исходного кода
Код: Выделить всё
./configure && make && make installКод: Выделить всё
mkdir -p /var/db/taygaКод: Выделить всё
cat >/usr/local/etc/tayga.conf <<EOD
tun-device nat64
ipv4-addr 192.168.255.1 # это IPv4-адрес TAYGA, а не адрес вашего маршрутизатора)
prefix 2001:db8:1:ffff::/96 # замените на неиспользуемый префикс /96 из диапазона адресов вашего сайта)
dynamic-pool 192.168.255.0/24
data-dir /var/db/tayga
EODКод: Выделить всё
tayga --mktunКод: Выделить всё
ip link set nat64 upКод: Выделить всё
ip addr add 192.168.0.1 dev nat64ip addr del 192.168.0.1 dev nat64
Задаем IPv6 адрес на виртуальный интерфейс (замените на IPv6-адрес вашего маршрутизатора)
Код: Выделить всё
ip addr add 2001:db8:1::1 dev nat64Отключаем
ip link set nat64 down
Удаляем
ip link delete nat64
Просмотр сетевых подключений
Код: Выделить всё
ip addr showКод: Выделить всё
ip route add 192.168.255.0/24 dev nat64Код: Выделить всё
ip route add 2001:db8:1:ffff::/96 dev nat64Код: Выделить всё
taygaКод: Выделить всё
ping6 2001:db8:1:ffff::192.168.255.1Код: Выделить всё
ping6 2001:db8:1:ffff::192.168.0.1Код: Выделить всё
ping6 2001:db8:1:ffff::8.8.8.8Использование IPv4 в качестве суффикса сделает эту работу: 64:ff9b::8.8.8.8.
Конечно, IPv6 обычно закодирован в шестнадцатеричном формате, но такой синтаксис разрешен.
Как только шлюз увидит адрес, содержащий настроенный префикс NAT64, он начнет трансляцию в IPv4.
Код: Выделить всё
ping -6 github.comТеперь вам нужно настроить правила NAT44 в iptables или где-то еще в вашей сети, чтобы динамические пулы адресов могли достичь остальной части Интернета.
Наконец, настройте iptables для NAT4:
iptables -t nat -A POSTROUTING -o nat64 -j MASQUERADE
iptables -t nat -A POSTROUTING -s 192.168.255.0/24 -j MASQUERADE
Чтобы включить маршрутизацию между IPv4 и IPv6, добавьте правила iptables:
iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE
ip6tables -t nat -A POSTROUTING -o eth0 -j MASQUERADE
Полную документацию по настройке и работе TAYGA можно найти на страницах руководства и в файле README, прилагаемых к дистрибутиву.
Исходный код: tayga-0.9.2.tar.bz2
README-0.9.2
README-0.9.2
Показать
**************************************************** ****************************
README для TAYGA v0.9.2
**************************************************** ****************************
Последнее обновление 2010-12-12
--------
Обзор
--------
TAYGA — это реализация NAT64 без сохранения состояния ядра для Linux. Она использует
драйвер TUN для обмена пакетами с ядром, который является тем же драйвером
используется OpenVPN и QEMU/KVM. TAYGA не требует исправлений ядра или out-of-tree
модулей и совместим со всеми ядрами 2.4 и 2.6.
Если вы нетерпеливы и знаете, что такое NAT64 без сохранения состояния, вы можете сразу перейти к
Раздел «Установка и базовая настройка».
-------------------------------
NAT64 без сохранения состояния против NAT64 с сохранением состояния
-------------------------------
Большинству людей знакома технология NAT с отслеживанием состояния, которая позволяет выполнять сопоставление адресов N:1.
путем отслеживания сеансов TCP и UDP и перезаписи номеров портов в каждом пакете.
Чаще всего это используется для перевода сеансов из нескольких «внутренних»
хостов (которые пронумерованы частными адресами IPv4) на единую глобальную
Адрес IPv4 на «внешнем» интерфейсе устройства NAT.
Stateless NAT не отслеживает сеансы и не перезаписывает номера портов.
просто выполняет замену IP-адресов 1:1 с использованием таблицы сопоставления
предоставленный администратором сети.
Например, организация, чья глобальное распределение адресов было 198.51.100.0/24,
но чьи хосты использовали адреса в 192.0.2.0/24 могут использовать NAT без сохранения состояния
для перезаписи 192.0.2.1 в 198.51.100.1, 192.0.2.35 в 198.51.100.35 и т.д. в исходящем направлении,
и наоборот в направлении входящего. Это обычно делается, когда организация переходит к новому интернет-провайдеру
и получает новый делегированный адрес IPv4 такого же размера, как и их старая делегация,
но не хочет менять свою нумерацию сеть.
TAYGA и другие трансляторы NAT64 без сохранения состояния работают таким образом.
Когда перевод пакетов между IPv4 и IPv6, источником и местом назначения
Адреса в заголовках пакетов заменяются с использованием сопоставления 1:1.
Это означает, что для обмена пакетами через NAT64 каждый хост IPv4 должен
быть представлено уникальным адресом IPv6, и каждый хост IPv6 должен быть
представлено уникальным адресом IPv4. Как выполняется это сопоставление,
обсуждается в следующих разделах.
В ситуациях, когда требуется NAT64 с отслеживанием состояния, можно использовать TAYGA
сочетание с IPv4 NAT с отслеживанием состояния, например, с целью iptables MASQUERADE.
Это дает администратору гораздо больше гибкости, чем при отслеживании состояния.
NAT были реализованы непосредственно в TAYGA.
----------------------
Сопоставление IPv4 с IPv6
----------------------
TAYGA сопоставляет адреса IPv4 с сетью IPv6 в соответствии с RFC 6052.
Это утверждает, что 32-битный адрес IPv4 должен быть добавлен к назначенному адресу IPv6
префикс, который мы называем префиксом NAT64, и полученный адрес IPv6 может быть
используется для связи с хостом IPv4 через NAT64.
Префикс NAT64 должен быть назначен из глобального адреса IPv6 сайта.
Выделение.
Например, если сайту выделено 2001:db8:1::/48, префикс 2001:db8:1:ffff::/96 можно было бы зарезервировать для NAT64.
(Есть несколько вариантов для длины префикса NAT64, но рекомендуется /96.) Хост IPv4
Затем к 198.51.100.10 можно будет получить доступ через NAT64, используя адрес
2001:db8:1:ffff::c633:640a.
Удобно, что можно использовать синтаксис 2001:db8:1:ffff::198.51.100.10 вместо этого.
RFC 6052 также определяет общеизвестный префикс 64:ff9b::/96, который может использоваться для
Служба NAT64 вместо выделения префикса из IPv6-адреса сайта блок.
Однако это связано с несколькими ограничениями, в первую очередь, с тем, что хосты
с частными адресами IPv4 (10.xxx, 192.168.xx и т.д.) доступ невозможен
через NAT64. Для получения дополнительной информации см. RFC 6052.
Если служба NAT64 необходима только для нескольких хостов, а не для всего IPv4
адресное пространство, TAYGA может быть настроено без префикса NAT64, и адрес
Карты могут назначаться на основе принципа «хост-хост».
----------------------
Сопоставление IPv6 с IPv4
----------------------
Будучи NAT без сохранения состояния, TAYGA требует назначения уникального адреса IPv4.
к каждому хосту IPv6, которому требуется служба NAT64. Это назначение может быть выполнено
статически администратором сети или динамически TAYGA из пула
адресов IPv4, предназначенных для этой цели.
Статическое сопоставление адресов желательно для серверов или других хостов, требующих
известный адрес. Статически сопоставленные адреса могут быть введены в DNS, например
пример.
Динамическое сопоставление адресов позволяет TAYGA назначать адреса IPv4 хостам IPv6 в качестве они нужны.
По умолчанию эти назначения гарантированно останутся
можно использовать в течение двух часов после последнего увиденного пакета, но они сохраняются
на срок до двух недель, пока пул адресов не опустеет.
Назначения записываются на диск, поэтому они сохраняются после перезапуска TAYGA.
демон, позволяющий существующим сеансам TCP и UDP продолжаться без прерывания.
(Конечно, TAYGA также поддерживает архитектуру адресации, описанную в RFC)
6052, в котором хосты IPv6 нумеруются с помощью «адресов IPv6, транслируемых в IPv4»
(вырезано из префикса NAT64.)
----------------------------------
Установка и базовая конфигурация
----------------------------------
TAYGA использует систему GNU Automake/Autoconf, для которой требуется `configure`
Скрипт, который необходимо запустить для генерации Makefile перед сборкой. --prefix
и/или параметры --sysconfdir можно указать в скрипте конфигурации для
укажите путь установки верхнего уровня и каталог файла tayga.conf, соответственно.
После распаковки дистрибутивного файла tar.bz2 запустите:
Это установит исполняемый файл tayga в /usr/local/sbin/tayga
пример файл конфигурации в /usr/local/etc/tayga.conf.example.
Далее, если вы хотите, чтобы динамические карты сохранялись между перезапусками TAYGA,
создайте каталог для хранения файла dynamic.map:
Теперь создайте свой сайт-специфичный файл конфигурации tayga.conf. Установленный
Файл tayga.conf.example можно скопировать в tayga.conf и изменить в соответствии с вашими требованиями.
сайт. Вот пример минимальной конфигурации:
Перед запуском демона TAYGA необходимо настроить маршрутизацию в вашей системе.
для изменения для отправки пакетов IPv4 и IPv6 в TAYGA.
Сначала создайте TUN сетевой интерфейс:
Если TAYGA выводит какие-либо ошибки, вам необходимо исправить файл конфигурации перед продолжением.
В противном случае новый интерфейс nat64 может быть настроен и
В вашу систему можно добавить соответствующие маршруты:
# ip link set nat64 up
# ip addr add 2001:db8:1::1 dev nat64 # замените на адрес вашего маршрутизатора
# ip addr add 192.168.0.1 dev nat64 # замените на адрес вашего маршрутизатора
# ip route add 2001:db8:1:ffff::/96 dev nat64 # из tayga.conf
# ip route add 192.168.255.0/24 dev nat64 # из tayga.conf
Настоятельно рекомендуется защитить ваш префикс NAT64 от внешнего доступа с помощью брандмауэра:
Разрешить
# ip6tables -A FORWARD -s 2001:db8:1::/48 -d 2001:db8:1:ffff::/96 -j ACCEPT
Блокировать
# ip6tables -A FORWARD -d 2001:db8:1:ffff::/96 -j DROP
На этом этапе вы можете запустить процесс тайги:
Проверьте системный журнал (/var/log/syslog или /var/log/messages) на предмет статуса информации.
Если у вас возникли трудности с настройкой TAYGA, используйте опцию -d для запуска
процесс tayga на переднем плане и отправка всех сообщений журнала на стандартный вывод:
README для TAYGA v0.9.2
**************************************************** ****************************
Последнее обновление 2010-12-12
--------
Обзор
--------
TAYGA — это реализация NAT64 без сохранения состояния ядра для Linux. Она использует
драйвер TUN для обмена пакетами с ядром, который является тем же драйвером
используется OpenVPN и QEMU/KVM. TAYGA не требует исправлений ядра или out-of-tree
модулей и совместим со всеми ядрами 2.4 и 2.6.
Если вы нетерпеливы и знаете, что такое NAT64 без сохранения состояния, вы можете сразу перейти к
Раздел «Установка и базовая настройка».
-------------------------------
NAT64 без сохранения состояния против NAT64 с сохранением состояния
-------------------------------
Большинству людей знакома технология NAT с отслеживанием состояния, которая позволяет выполнять сопоставление адресов N:1.
путем отслеживания сеансов TCP и UDP и перезаписи номеров портов в каждом пакете.
Чаще всего это используется для перевода сеансов из нескольких «внутренних»
хостов (которые пронумерованы частными адресами IPv4) на единую глобальную
Адрес IPv4 на «внешнем» интерфейсе устройства NAT.
Stateless NAT не отслеживает сеансы и не перезаписывает номера портов.
просто выполняет замену IP-адресов 1:1 с использованием таблицы сопоставления
предоставленный администратором сети.
Например, организация, чья глобальное распределение адресов было 198.51.100.0/24,
но чьи хосты использовали адреса в 192.0.2.0/24 могут использовать NAT без сохранения состояния
для перезаписи 192.0.2.1 в 198.51.100.1, 192.0.2.35 в 198.51.100.35 и т.д. в исходящем направлении,
и наоборот в направлении входящего. Это обычно делается, когда организация переходит к новому интернет-провайдеру
и получает новый делегированный адрес IPv4 такого же размера, как и их старая делегация,
но не хочет менять свою нумерацию сеть.
TAYGA и другие трансляторы NAT64 без сохранения состояния работают таким образом.
Когда перевод пакетов между IPv4 и IPv6, источником и местом назначения
Адреса в заголовках пакетов заменяются с использованием сопоставления 1:1.
Это означает, что для обмена пакетами через NAT64 каждый хост IPv4 должен
быть представлено уникальным адресом IPv6, и каждый хост IPv6 должен быть
представлено уникальным адресом IPv4. Как выполняется это сопоставление,
обсуждается в следующих разделах.
В ситуациях, когда требуется NAT64 с отслеживанием состояния, можно использовать TAYGA
сочетание с IPv4 NAT с отслеживанием состояния, например, с целью iptables MASQUERADE.
Это дает администратору гораздо больше гибкости, чем при отслеживании состояния.
NAT были реализованы непосредственно в TAYGA.
----------------------
Сопоставление IPv4 с IPv6
----------------------
TAYGA сопоставляет адреса IPv4 с сетью IPv6 в соответствии с RFC 6052.
Это утверждает, что 32-битный адрес IPv4 должен быть добавлен к назначенному адресу IPv6
префикс, который мы называем префиксом NAT64, и полученный адрес IPv6 может быть
используется для связи с хостом IPv4 через NAT64.
Префикс NAT64 должен быть назначен из глобального адреса IPv6 сайта.
Выделение.
Например, если сайту выделено 2001:db8:1::/48, префикс 2001:db8:1:ffff::/96 можно было бы зарезервировать для NAT64.
(Есть несколько вариантов для длины префикса NAT64, но рекомендуется /96.) Хост IPv4
Затем к 198.51.100.10 можно будет получить доступ через NAT64, используя адрес
2001:db8:1:ffff::c633:640a.
Удобно, что можно использовать синтаксис 2001:db8:1:ffff::198.51.100.10 вместо этого.
RFC 6052 также определяет общеизвестный префикс 64:ff9b::/96, который может использоваться для
Служба NAT64 вместо выделения префикса из IPv6-адреса сайта блок.
Однако это связано с несколькими ограничениями, в первую очередь, с тем, что хосты
с частными адресами IPv4 (10.xxx, 192.168.xx и т.д.) доступ невозможен
через NAT64. Для получения дополнительной информации см. RFC 6052.
Если служба NAT64 необходима только для нескольких хостов, а не для всего IPv4
адресное пространство, TAYGA может быть настроено без префикса NAT64, и адрес
Карты могут назначаться на основе принципа «хост-хост».
----------------------
Сопоставление IPv6 с IPv4
----------------------
Будучи NAT без сохранения состояния, TAYGA требует назначения уникального адреса IPv4.
к каждому хосту IPv6, которому требуется служба NAT64. Это назначение может быть выполнено
статически администратором сети или динамически TAYGA из пула
адресов IPv4, предназначенных для этой цели.
Статическое сопоставление адресов желательно для серверов или других хостов, требующих
известный адрес. Статически сопоставленные адреса могут быть введены в DNS, например
пример.
Динамическое сопоставление адресов позволяет TAYGA назначать адреса IPv4 хостам IPv6 в качестве они нужны.
По умолчанию эти назначения гарантированно останутся
можно использовать в течение двух часов после последнего увиденного пакета, но они сохраняются
на срок до двух недель, пока пул адресов не опустеет.
Назначения записываются на диск, поэтому они сохраняются после перезапуска TAYGA.
демон, позволяющий существующим сеансам TCP и UDP продолжаться без прерывания.
(Конечно, TAYGA также поддерживает архитектуру адресации, описанную в RFC)
6052, в котором хосты IPv6 нумеруются с помощью «адресов IPv6, транслируемых в IPv4»
(вырезано из префикса NAT64.)
----------------------------------
Установка и базовая конфигурация
----------------------------------
TAYGA использует систему GNU Automake/Autoconf, для которой требуется `configure`
Скрипт, который необходимо запустить для генерации Makefile перед сборкой. --prefix
и/или параметры --sysconfdir можно указать в скрипте конфигурации для
укажите путь установки верхнего уровня и каталог файла tayga.conf, соответственно.
После распаковки дистрибутивного файла tar.bz2 запустите:
Код: Выделить всё
./configure && make && make installпример файл конфигурации в /usr/local/etc/tayga.conf.example.
Далее, если вы хотите, чтобы динамические карты сохранялись между перезапусками TAYGA,
создайте каталог для хранения файла dynamic.map:
Код: Выделить всё
mkdir -p /var/db/stretchФайл tayga.conf.example можно скопировать в tayga.conf и изменить в соответствии с вашими требованиями.
сайт. Вот пример минимальной конфигурации:
Код: Выделить всё
mcedit /usr/local/etc/tayga.confКод: Выделить всё
tun-device nat64
ipv4-addr 192.168.255.1
prefix 2001:db8:1:ffff::/96 # заменить на префикс из
# диапазон адресов вашего сайта
dynamic-pool 192.168.255.0/24
data-dir /var/db/tayga # пропустите, если вам не нужна постоянная
# динамические карты адресовдля изменения для отправки пакетов IPv4 и IPv6 в TAYGA.
Сначала создайте TUN сетевой интерфейс:
Код: Выделить всё
tayga --mktunВ противном случае новый интерфейс nat64 может быть настроен и
В вашу систему можно добавить соответствующие маршруты:
# ip link set nat64 up
# ip addr add 2001:db8:1::1 dev nat64 # замените на адрес вашего маршрутизатора
# ip addr add 192.168.0.1 dev nat64 # замените на адрес вашего маршрутизатора
# ip route add 2001:db8:1:ffff::/96 dev nat64 # из tayga.conf
# ip route add 192.168.255.0/24 dev nat64 # из tayga.conf
Настоятельно рекомендуется защитить ваш префикс NAT64 от внешнего доступа с помощью брандмауэра:
Разрешить
# ip6tables -A FORWARD -s 2001:db8:1::/48 -d 2001:db8:1:ffff::/96 -j ACCEPT
Блокировать
# ip6tables -A FORWARD -d 2001:db8:1:ffff::/96 -j DROP
На этом этапе вы можете запустить процесс тайги:
Код: Выделить всё
taygaЕсли у вас возникли трудности с настройкой TAYGA, используйте опцию -d для запуска
процесс tayga на переднем плане и отправка всех сообщений журнала на стандартный вывод:
Код: Выделить всё
tayga -dISC BIND поддерживает DNS64 с версии 9.8 и является лучшим вариантом для служб DNS64.
Другой вариант — Totd , хотя он не обновлялся несколько лет.
А как насчет NAT с отслеживанием состояния?
TAYGA никогда не сможет предложить ту же мощь и гибкость, что и iptables и зрелые коммерческие реализации NAT44, поэтому вместо этого TAYGA преобразует IPv6 в IPv4 максимально прозрачным образом, позволяя использовать существующие инструменты, работающие только с IPv4, для дальнейшей манипуляции сеансами, проходящими через него.
Другими словами, если вам нужен NAT64 с отслеживанием состояния, направьте путь IPv4 TAYGA через NAT44 с отслеживанием состояния.
Контакт
С автором, Натаном Лучански, можно связаться по адресу lutchann@litech.org .
Часто задаваемые вопросы
Показать
Предварительная установка
1.1. Чем именно занимается TAYGA?
TAYGA — это демон, который выполняет трансляцию пакетов между IPv4 и IPv6. Официально это называется «Stateless IP/ICMP Translation (SIIT)» и описано в draft-ietf-behave-v6v4-xlate . Неофициально это известно как NAT64, но сравнение с традиционной трансляцией сетевых адресов (NAT) может вызвать путаницу.
ТАЙГА не является :
маршрутизатор
инструмент туннелирования или VPN
брандмауэр или мера безопасности любого рода
DNS-транслятор ( для этого используйте TOTD или другой DNS64)
способ «получить доступ» к Интернету IPv6 (см. следующие два вопроса)
1.2. Могу ли я использовать TAYGA для подключения моих хостов IPv6 к Интернету IPv6?
TAYGA обрабатывает только трансляцию в IPv4 и обратно. Его нельзя использовать для создания соединения между сайтом с поддержкой IPv6 и серверами IPv6 в более широком Интернете.
Интернет IPv6, концептуально, является отдельной глобальной сетью от Интернета IPv4. Вашей организации необходимо установить восходящий канал к Интернету IPv6, который будет работать параллельно с вашим существующим восходящим каналом IPv4.
К счастью, нет необходимости приобретать отдельную физическую инфраструктуру. Если ваш провайдер восходящего потока изначально поддерживает IPv6, вы можете попросить его включить IPv6 на вашем существующем соединении IPv4, и оба протокола смогут использовать одну и ту же линию. Если ваш провайдер восходящего потока не поддерживает IPv6, вы можете создать туннель IPv6-in-IPv4 (похожий на VPN) к бесплатному брокеру туннелей, такому как Hurricane Electric или SixXS .
1.3. Я не хочу развертывать IPv6 в своей внутренней сети; я просто хочу включить IPv6 на своем пограничном маршрутизаторе и использовать NAT, чтобы предоставить моим внутренним клиентам доступ к Интернету IPv6. Может ли TAYGA сделать это?
Нет. То, что вы ищете, на самом деле не существует.
Некоторые сетевые «эксперты» утверждают, что организациям нет необходимости переводить свои внутренние сети на IPv6, и предполагают, что можно использовать NAT для предоставления клиентам IPv4-only доступа к Интернету IPv6. Эти эксперты обычно отказываются описывать технические средства того, как это можно сделать, вместо этого советуя читателям подождать, пока поставщики оборудования предложат решение.
Технически невозможно, чтобы система трансляции, работающая исключительно на уровне IP, позволяла хостам IPv4 устанавливать соединения с любым произвольным сервером IPv6. Такая система должна была бы представлять каждый сервер IPv6 в Интернете с уникальным адресом IPv4, что явно невыполнимо, учитывая размер адресного пространства IPv6.
Несколько лет назад IETF попыталась стандартизировать систему под названием NAT-PT, которая использовала функцию трансляции DNS для назначения временных адресов IPv4 серверам IPv6, создавая видимость полной двунаправленной связи между IPv4 и IPv6. Возможно, именно этот стандарт имели в виду эксперты выше. Однако было обнаружено, что NAT-PT имеет фундаментальные недостатки и слишком хрупкий для использования в производственной среде, поэтому IETF объявила его устаревшим в 2007 году.
Единственный известный метод надежного предоставления клиентам, использующим только IPv4, доступа к Интернету IPv6 — это использование прокси-серверов уровня приложений, например Squid для трафика HTTP.
Установка
2.1. В какие дистрибутивы включена TAYGA?
TAYGA 0.9.1 была добавлена в репозиторий Debian для тестирования 10 апреля 2011 г.
Если вы являетесь ответственным за поддержку дистрибутива и вам нужна помощь в упаковке TAYGA, отправьте электронное письмо по адресу .
2.2. Безопасна ли 64-битная версия TAYGA?
Безопасна ли она с прямым и обратным порядком байтов?
Да.
Конфигурация и запуск
3.1. Зачем TAYGA нужны собственные адреса IPv4 и IPv6?
Когда TAYGA не может преобразовать пакет (например, если адрес назначения недействителен), он должен отправить ICMP-ошибку отправителю пакета. TAYGA помещает свой собственный IP-адрес в поле исходного адреса пакета ICMP-ошибки, чтобы определить, что ошибка была сгенерирована TAYGA.
В диагностических целях TAYGA также будет отвечать на эхо-запросы ICMP (ping), отправленные на его IP-адреса.
3.2. Может ли TAYGA использовать те же IP-адреса, что и хост, на котором он работает?
Это крайне не рекомендуется. Известно, что хосты Linux ведут себя плохо при наличии дублирующих назначений IP-адресов. Если вы гуру сетей Linux, вы можете заставить это работать, но в противном случае это приглашение к странным проблемам, некоторые из которых могут быть не очевидны сразу.
3.3. Какие адреса следует назначить интерфейсу TUN nat64?
Вы можете использовать любые адреса, назначенные другим сетевым интерфейсам вашего маршрутизатора, или использовать новые адреса, выделенные вами специально для этой цели.
Обратите внимание, что если вы используете адреса из другого интерфейса, вам НЕ НУЖНО добавлять длину префикса к адресу при его настройке на интерфейсе nat64.
Пример правильной конфигурации:
# ip addr add 192.168.0.1 dev nat64
# ip addr add 2001:db8:1::1 dev nat64
Пример неправильной конфигурации:
# ip addr add 192.168.0.1/24 dev nat64
# ip addr add 2001:db8:1::1/64 dev nat64
3.4. Я вообще не настраивал адреса на интерфейсе nat64 и вроде бы все работает. Это нормально?
Если вы не настроите адреса на вашем интерфейсе nat64, вы можете столкнуться с тонкими проблемами с ошибками ICMP.
Если хост Linux должен выдать ошибку ICMP из интерфейса nat64, он произвольно выберет исходный адрес из другого интерфейса или может полностью подавить ошибку. Это может вызвать проблемы с обнаружением MTU пути, среди прочих проблем.
Явная настройка адреса IPv4 и адреса IPv6 на интерфейсе nat64 — лучший способ обеспечить надлежащую функциональность ICMP.
1.1. Чем именно занимается TAYGA?
TAYGA — это демон, который выполняет трансляцию пакетов между IPv4 и IPv6. Официально это называется «Stateless IP/ICMP Translation (SIIT)» и описано в draft-ietf-behave-v6v4-xlate . Неофициально это известно как NAT64, но сравнение с традиционной трансляцией сетевых адресов (NAT) может вызвать путаницу.
ТАЙГА не является :
маршрутизатор
инструмент туннелирования или VPN
брандмауэр или мера безопасности любого рода
DNS-транслятор ( для этого используйте TOTD или другой DNS64)
способ «получить доступ» к Интернету IPv6 (см. следующие два вопроса)
1.2. Могу ли я использовать TAYGA для подключения моих хостов IPv6 к Интернету IPv6?
TAYGA обрабатывает только трансляцию в IPv4 и обратно. Его нельзя использовать для создания соединения между сайтом с поддержкой IPv6 и серверами IPv6 в более широком Интернете.
Интернет IPv6, концептуально, является отдельной глобальной сетью от Интернета IPv4. Вашей организации необходимо установить восходящий канал к Интернету IPv6, который будет работать параллельно с вашим существующим восходящим каналом IPv4.
К счастью, нет необходимости приобретать отдельную физическую инфраструктуру. Если ваш провайдер восходящего потока изначально поддерживает IPv6, вы можете попросить его включить IPv6 на вашем существующем соединении IPv4, и оба протокола смогут использовать одну и ту же линию. Если ваш провайдер восходящего потока не поддерживает IPv6, вы можете создать туннель IPv6-in-IPv4 (похожий на VPN) к бесплатному брокеру туннелей, такому как Hurricane Electric или SixXS .
1.3. Я не хочу развертывать IPv6 в своей внутренней сети; я просто хочу включить IPv6 на своем пограничном маршрутизаторе и использовать NAT, чтобы предоставить моим внутренним клиентам доступ к Интернету IPv6. Может ли TAYGA сделать это?
Нет. То, что вы ищете, на самом деле не существует.
Некоторые сетевые «эксперты» утверждают, что организациям нет необходимости переводить свои внутренние сети на IPv6, и предполагают, что можно использовать NAT для предоставления клиентам IPv4-only доступа к Интернету IPv6. Эти эксперты обычно отказываются описывать технические средства того, как это можно сделать, вместо этого советуя читателям подождать, пока поставщики оборудования предложат решение.
Технически невозможно, чтобы система трансляции, работающая исключительно на уровне IP, позволяла хостам IPv4 устанавливать соединения с любым произвольным сервером IPv6. Такая система должна была бы представлять каждый сервер IPv6 в Интернете с уникальным адресом IPv4, что явно невыполнимо, учитывая размер адресного пространства IPv6.
Несколько лет назад IETF попыталась стандартизировать систему под названием NAT-PT, которая использовала функцию трансляции DNS для назначения временных адресов IPv4 серверам IPv6, создавая видимость полной двунаправленной связи между IPv4 и IPv6. Возможно, именно этот стандарт имели в виду эксперты выше. Однако было обнаружено, что NAT-PT имеет фундаментальные недостатки и слишком хрупкий для использования в производственной среде, поэтому IETF объявила его устаревшим в 2007 году.
Единственный известный метод надежного предоставления клиентам, использующим только IPv4, доступа к Интернету IPv6 — это использование прокси-серверов уровня приложений, например Squid для трафика HTTP.
Установка
2.1. В какие дистрибутивы включена TAYGA?
TAYGA 0.9.1 была добавлена в репозиторий Debian для тестирования 10 апреля 2011 г.
Если вы являетесь ответственным за поддержку дистрибутива и вам нужна помощь в упаковке TAYGA, отправьте электронное письмо по адресу .
2.2. Безопасна ли 64-битная версия TAYGA?
Безопасна ли она с прямым и обратным порядком байтов?
Да.
Конфигурация и запуск
3.1. Зачем TAYGA нужны собственные адреса IPv4 и IPv6?
Когда TAYGA не может преобразовать пакет (например, если адрес назначения недействителен), он должен отправить ICMP-ошибку отправителю пакета. TAYGA помещает свой собственный IP-адрес в поле исходного адреса пакета ICMP-ошибки, чтобы определить, что ошибка была сгенерирована TAYGA.
В диагностических целях TAYGA также будет отвечать на эхо-запросы ICMP (ping), отправленные на его IP-адреса.
3.2. Может ли TAYGA использовать те же IP-адреса, что и хост, на котором он работает?
Это крайне не рекомендуется. Известно, что хосты Linux ведут себя плохо при наличии дублирующих назначений IP-адресов. Если вы гуру сетей Linux, вы можете заставить это работать, но в противном случае это приглашение к странным проблемам, некоторые из которых могут быть не очевидны сразу.
3.3. Какие адреса следует назначить интерфейсу TUN nat64?
Вы можете использовать любые адреса, назначенные другим сетевым интерфейсам вашего маршрутизатора, или использовать новые адреса, выделенные вами специально для этой цели.
Обратите внимание, что если вы используете адреса из другого интерфейса, вам НЕ НУЖНО добавлять длину префикса к адресу при его настройке на интерфейсе nat64.
Пример правильной конфигурации:
# ip addr add 192.168.0.1 dev nat64
# ip addr add 2001:db8:1::1 dev nat64
Пример неправильной конфигурации:
# ip addr add 192.168.0.1/24 dev nat64
# ip addr add 2001:db8:1::1/64 dev nat64
3.4. Я вообще не настраивал адреса на интерфейсе nat64 и вроде бы все работает. Это нормально?
Если вы не настроите адреса на вашем интерфейсе nat64, вы можете столкнуться с тонкими проблемами с ошибками ICMP.
Если хост Linux должен выдать ошибку ICMP из интерфейса nat64, он произвольно выберет исходный адрес из другого интерфейса или может полностью подавить ошибку. Это может вызвать проблемы с обнаружением MTU пути, среди прочих проблем.
Явная настройка адреса IPv4 и адреса IPv6 на интерфейсе nat64 — лучший способ обеспечить надлежащую функциональность ICMP.
Заметки по сборке для WRT54 и аналогичных маршрутизаторов под управлением Tomato
Показать
Сборка TAYGA для TomatoUSB
Стивен Уолтер предоставил приведенные ниже инструкции по сборке TAYGA для прошивки TomatoUSB для домашних маршрутизаторов на базе WRT54.
Я начал с прошивки Tomato USB с включенными IPv6 и JFFS.
Начнем с того, что я скачал репозиторий git для Tomato, так как он
содержит необходимую цепочку инструментов кросс-компилятора MIPS.
Прочитайте tools/README в исходном дереве томата и следуйте инструкциям
инструкции по размещению инструментария компилятора в $PATH. Вы можете перейти
вперед и построить Помидор, как указано; единственная часть, которая действительно
необходимо собрать модуль ядра tun.o. Он собран
по умолчанию, но не включен в образ флэш. В качестве альтернативы вы можете
используйте образ прошивки, который поддерживает OpenVPN. Для сборки TAYGA настройте
это примерно так:
Вы можете собрать его с помощью обычной команды «make», а затем скопировать двоичный файл в /jffs на вашем маршрутизаторе.
Вы можете захотеть удалить его с помощью mipsel-linux-uclibc-strip сначала.
Затем скопируйте tun.o также в /jffs, если необходимо.
Создайте /jffs/tayga.conf так же, как и для любого другого Linux система.
Из оболочки маршрутизатора:
настройте свое устройство tun, используйте "ip", как и в любой другой системе Linux
На данный момент тайга запущена и функциональна. Вы можете обнаружить, как я сделал, что правила брандмауэра по умолчанию не позволяют ему быть очень полезно.
Я добавил эти правила в свой iptables:
ip6tables также должен разрешить пересылку, но это не было сделано уже отклонено в моей системе.
Стивен Уолтер предоставил приведенные ниже инструкции по сборке TAYGA для прошивки TomatoUSB для домашних маршрутизаторов на базе WRT54.
Я начал с прошивки Tomato USB с включенными IPv6 и JFFS.
Начнем с того, что я скачал репозиторий git для Tomato, так как он
содержит необходимую цепочку инструментов кросс-компилятора MIPS.
Прочитайте tools/README в исходном дереве томата и следуйте инструкциям
инструкции по размещению инструментария компилятора в $PATH. Вы можете перейти
вперед и построить Помидор, как указано; единственная часть, которая действительно
необходимо собрать модуль ядра tun.o. Он собран
по умолчанию, но не включен в образ флэш. В качестве альтернативы вы можете
используйте образ прошивки, который поддерживает OpenVPN. Для сборки TAYGA настройте
это примерно так:
Код: Выделить всё
CC=mipsel-linux-uclibc-gcc ./configure --host=mipsel-linux-uclibc \
--build=i686-linux-gnu-pcВы можете захотеть удалить его с помощью mipsel-linux-uclibc-strip сначала.
Затем скопируйте tun.o также в /jffs, если необходимо.
Создайте /jffs/tayga.conf так же, как и для любого другого Linux система.
Из оболочки маршрутизатора:
Код: Выделить всё
cd /jffsКод: Выделить всё
insmod ./tun.oКод: Выделить всё
./tayga -c tayga.conf --mktunКод: Выделить всё
./tayga -c tayga.confЯ добавил эти правила в свой iptables:
Код: Выделить всё
iptables -A FORWARD -i nat64 -j ACCEPTКод: Выделить всё
iptables -A FORWARD -o nat64 -j ACCEPTКод: Выделить всё
# Обязательный параметр. виртуальное сетевое устройство. любое имя, но рекомендуется nat64.
tun-device nat64
# IPv4-адрес TAYGA, Обязательный параметр который будет использоваться для трансляции.
# требуется свой собственный адрес, а не адрес вашего маршрутизатора, может находиться в пределах выделенного для TAYGA динамического пула / dynamic-pool адресов.
# действует как маршрутизатор IPv4 и IPv6 и должен иметь возможность отправлять сообщения ICMP(ping)
ipv4-addr 192.168.255.1
# Префикс NAT64. Адресное пространство IPv4 отображается в адресное пространство IPv6 путем добавления этого префикса к адресу IPv4.
# В большинстве случаев рекомендуется использовать префикс /96, но поддерживаются все длины, указанные в RFC 6052.
# prefix выбрать неиспользуемый /96 из диапазона адресов IPv6 вашего сайта, который будет использоваться в качестве префикса NAT64
# префикс для NAT64 (по умолчанию используется 64:ff9b::/96) заменить на префикс из диапазон адресов вашего сайта
# можем использовать любой другой префикс, но в целом вам следует придерживаться этого 64:ff9b::/96
# Это должен быть префикс, выбранный из адресного пространства IPv6 вашей сети, или префикс 64:ff9b::/96.
# Обратите внимание, что использование префикса 64:ff9b::/96 запрещает узлам IPv6 связываться с узлами IPv4, имеющими частные (RFC1918) адреса, в соответствии с RFC 6052.
# не нужно указывать, если все необходимые сопоставления адресов перечислены в директивах map
prefix 64:ff9b::/96
#prefix 2001:db8:1:ffff::/96
#prefix 2b06:1301:4210:17eb::/96
#prefix 2b0e:8086:f:1::/96
# IPv6-адрес TAYGA
# Не является обязательным, если указан префикс NAT64
# Обязателен, если используется префикс NAT64 64:ff9b::/96, а ipv4-addr является частным (RFC1918) адресом.
# IPv6-адрес TAYGA требуется свой собственный адрес, а не адрес вашего маршрутизатора, потому что он действует как маршрутизатор IPv4 и IPv6 и должен иметь возможность отправлять сообщения ICMP(ping)
#ipv6-addr 2001:db8:feee::3
# блок неиспользуемых адресов IPv4 для пула динамических адресов. TAYGA назначит адреса IPv4 из этого пула хостам IPv6, которым требуется служба NAT64
# Динамический пул может быть выбран из частного адресного пространства IPv4 (10.xxx, 192.168.xx и т. д.) и может быть любого размера,
# хотя он должен быть достаточно большим, чтобы содержать один адрес IPv4 для каждого хоста IPv6, которому необходимо использовать NAT64.
# TAYGA также необходим собственный адрес IPv4, но его можно взять из динамического пула адресов
# действительны в течение 124 минут после обнаружения последнего соответствующего пакета.
dynamic-pool 192.168.255.0/24
# чтобы динамические карты адресов сохранялись между перезапусками TAYGA, каталог для хранения файла dynamic.map
data-dir /opt/var/db/tayga
# map Устанавливает карту связи с одним хостом. Если хост IPv6 должен быть постоянно доступен по определенному адресу IPv4,
# добавьте директиву map для данного хоста. Хосты IPv6, с адресом, преобразуемым в IPv4, не нуждаются в данной директиве.
# IPv4-адреса, указанные в директиве `map’, могут без конфликтов использовать адреса из указанного диапазона динамического пула.
# IPv6 :: 128(бит) = IPv4 0.0.0.0
# IPv6 ::1 128(бит) = IPv4 127.0.0.0/8 localhost
# Формат: 0000:0000:0000:0000:0000:0000:0000:0001 (сокращенно ::1) Маска подсети: /128
# IPv6 ::xx.xx.xx.xx 96(бит) = Нижние 32 бита это адрес IPv4.
# IPv6 ::ffff:..xx.xx.xx.xx 96(бит) = Нижние 32 бита это адрес IPv4.
# IPv6 64:ff9b:: 96(бит) = Зарезервирован для доступа из подсети IPv6 к публичной сети IPv4 через механизм трансляции NAT64
# IPv6 2001:: 32(бит) = Зарезервирован для туннелей Teredo
# IPv6 2001:db8:: 32(бит) = Зарезервирован для примеров в документации
# IPv6 2002:: 16(бит) Зарезервирован для туннелей 6to4
# IPv6 fe80:: — febf::<>10(бит)>link-local = Аналог 169.254.0.0/16 в IPv4
# IPv6 fec0:: — feff:: 10(бит) site-local = устаревший Аналог внутренних сетей 10.0.0.0/8; 172.16.0.0/12; 192.168.0.0/16
# IPv6 fc00:: 7(бит) Unique Local Unicast = Аналог внутренних сетей 10.0.0.0/8; 172.16.0.0/12; 192.168.0.0/16
# IPv6 ff00:: 8(бит) Multicast
Для того, чтобы организовать вашу собственную сеть, которая использует только IPv6 протокол, нам необходимо обеспечить:
преобразование записей DNS для IPv4 (типа A) в записи для IPv6 (AAAA);
трансляцию адресов из IPv4 в IPv6 (NAT64):
рассылку анонсов маршрутизатора в LAN.
Обеспечить преобразование записей DNS можно с помощью:
Bind 9;
Unbound;
публичных DNS64 серверов, но при этом имеются ограничения на варианты настройки и места размещения NAT64.
Трансляцию адресов NAT64 могут обеспечить:
Jool;
TAYGA.
TAYGA проще в установке, но при этом могут возникнуть проблемы с производительностью при большом количестве соединений. Jool требует установку модуля ядра, но при этом имеет хорошую производительность.
Рассылку объявлений маршрутизатора можно выполнить, например, с помощью сервиса radvd.
Более подробно в 3 сообщении ниже
141:d64::20 
2023
:12). Это означает, что вам в сети /64 был выдан адрес 12
789a:1::1
0012::