<![CDATA[IPv6 Forum - Aus der Praxis.]]>

<![CDATA[Linux Router für IPv6 mit ip6tables und Tunnelbroker.net / Hurricane Electic]]> http://www.ipv6-forum.com/forum/showthread.php?tid=2955 Thu, 22 Sep 2011 20:08:16 +0000 http://www.ipv6-forum.com/forum/showthread.php?tid=2955 Linux Router für IPv6 mit ip6tables und Tunnelbroker.net / Hurricane Electic

Wer wirklich schnell zum eigenen IPv6-Netzwerk kommen möchte sollte sich Tunnelbroker.net anschauen. Im Gegensatz zu SIXXS (bei denen es wegen dieses Creditsystems ewig dauert) hat man das Netzwerk in wenigen Minuten am laufen.

1. Schritt: Registrierung
http://www.tunnelbroker.net/register.php

Kurz darauf erhält man seine Logindaten und es geht los.

2. Schritt: Einloggen und auf Create Regular Tunnel klicken; dann erscheint folgendes Fenster:

.jpg

step1_forum.jpg (Größe: 109,08 KB / Downloads: 6)

3. Schritt: Die angezeigten Daten (wie unten) in das startscript einfügen:

.jpg

step2_forum.jpg (Größe: 85,25 KB / Downloads: 11)

Jetzt erstellen wir ein Startup-script unter /etc/network/if-up.d/startipv6tunnel

Code:

#!/bin/bash

# dieses Script liegt auf /etc/network/if-up.d/startipv6tunnel

# The IPv4 address of the hurricane PoP you're using

HURRICANE4="216.66.80.98" #siehe Screenshot in Schritt 3 (1)

EXTIP="223.67.22.22" #siehe Screenshot in Schritt 3 (2)

TUNNELPREFIX="2001:7f7:25:477::" #siehe Screenshot in Schritt 3 (3) + Anmerkung 1

INTPREFIX="2001:7f7:b6b1::/64" #siehe Screenshot in Schritt 3 (4) + Anmerkung 2

INTPREFIXIP="2001:7f7:b6b1::1" #siehe Screenshot in Schritt 3 (4) + Anmerkung 2

EXTERNALIF="eth0"

INTERNALIF="eth1"

#OPTIONAL:/sbin/ip addr add $EXTIP/32 dev $EXTERNALIF

MYTUNNELIP="${TUNNELPREFIX}2"

HURRICANETUNNELIP="${TUNNELPREFIX}1"

MTU=1280

IPTABLES="/sbin/iptables"

IPT6="/sbin/ip6tables"

IP6DEV="hurricane"

## ENABLING IPv6 Tunnel ##

$IPTABLES -A INPUT -p 41  -s $HURRICANE4 -d $EXTIP -j ACCEPT

$IPTABLES -A OUTPUT -p 41 -d $HURRICANE4 -s $EXTIP -j ACCEPT

$IPTABLES -A POSTROUTING -o $EXTERNALIF -t nat -d $HURRICANE4 -p all -j SNAT --to-source $EXTIP

## ENABLING IPv6 Tunnel ##

/sbin/ip tunnel add $IP6DEV mode sit local ${EXTIP} remote ${HURRICANE4} ttl 255

/sbin/ip link set $IP6DEV up

/sbin/ip -6 addr add ${MYTUNNELIP}/64 dev $IP6DEV

/sbin/ip -6 ro add ::/0 dev $IP6DEV

#INTERNALIF #

/sbin/ip a a $INTPREFIXIP dev $INTERNALIF

/sbin/ip r a $INTPREFIX dev $INTERNALIF

echo "Starting IPv6 firewall..."

#OPTIONAL: enable IPv6 forwarding

#OPTIONAL:echo 1 > /proc/sys/net/ipv6/conf/all/forwarding 

/etc/init.d/radvd restart

$IPT6 -F

$IPT6 -X

$IPT6 -t mangle -F

$IPT6 -t mangle -X

#unlimited access to loopback

$IPT6 -A INPUT -i lo -j ACCEPT

$IPT6 -A OUTPUT -o lo -j ACCEPT

#$IPT6 -P INPUT ACCEPT

#$IPT6 -P OUTPUT ACCEPT

#$IPT6 -P FORWARD ACCEPT

## DROP all incomming traffic

$IPT6 -P INPUT DROP

$IPT6 -P OUTPUT DROP

$IPT6 -P FORWARD DROP

# Allow full outgoing connection but no incomming stuff

$IPT6 -A INPUT -i $IP6DEV -m state --state ESTABLISHED,RELATED -j ACCEPT

$IPT6 -A OUTPUT -o $IP6DEV -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT

# allow incoming ICMP ping pong stuff

$IPT6 -A INPUT -i $IP6DEV -p ipv6-icmp -j ACCEPT

$IPT6 -A OUTPUT -o $IP6DEV -p ipv6-icmp -j ACCEPT

# Clients are allowed to connect to router 

$IPT6 -A INPUT  -i $INTERNALIF -p all -j ACCEPT

$IPT6 -A OUTPUT -o $INTERNALIF -p all -j ACCEPT

# clients are allowed to reach internet

$IPT6 -A FORWARD -i $INTERNALIF -o $IP6DEV -p all -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT

$IPT6 -A FORWARD -o $INTERNALIF -i $IP6DEV -p all -m state --state ESTABLISHED,RELATED -j ACCEPT

############## add your custom rules below ############

#### open IPv6  port 80

##$IPT6 -A INPUT -i $IP6DEV -p tcp --destination-port 80 -j ACCEPT

#### open IPv6  port 22

##$IPT6 -A INPUT -i $IP6DEV -p tcp --destination-port 22 -j ACCEPT

#### open IPv6  port 25

##$IPT6 -A INPUT -i $IP6DEV -p tcp --destination-port 25 -j ACCEPT

############# End custom rules ################

# 

##### no need to edit below ###

## log everything else

#$IPT6 -A INPUT -i $IP6DEV -j LOG

$IPT6 -A INPUT -i $IP6DEV -j DROP

Abschließend radvd konfigurieren:
/etc/radvd.conf:

Code:

interface eth1 {

  AdvSendAdvert on;

    prefix 2001:7f7:b6b1::/64 #siehe Screenshot in Schritt 3 (4) + Anmerkung 2

    {

        AdvAutonomous on;

        AdvOnLink on;

        AdvRouterAddr on;

  };

};

Anmerkung 1:
Im Screenshot steht
Server IPv6 Address 2001:7f7:25:477::1/64 und
Client IPv6 Address 2001:7f7:25:477::2/64. Da das in der Regel immer so ist nehme ich im Script einfach das 2001:7f7:25:477::
Anmerkung 2:
Im Screenshot steht Routed /48 2001:7f7:b6b1::/48: Da ich über radvd im Netzwerk nur ein /64-er Netzwerk freigebe. Wähle ich hier einfach irgendein Teilnetz - in diesem Fall 2001:7f7:b6b1::/64 mit der lokalen IP 2001:7f7:b6b1::1. (Es wäre natürlich auch möglich 2001:7f7:b6b1:ab::/64 zu verwenden.)

Das ganz noch starten:

Code:

debian:~# /etc/network/if-up.d/startipv6tunnel

That's it!]]> Linux Router für IPv6 mit ip6tables und Tunnelbroker.net / Hurricane Electic

Wer wirklich schnell zum eigenen IPv6-Netzwerk kommen möchte sollte sich Tunnelbroker.net anschauen. Im Gegensatz zu SIXXS (bei denen es wegen dieses Creditsystems ewig dauert) hat man das Netzwerk in wenigen Minuten am laufen.

1. Schritt: Registrierung
http://www.tunnelbroker.net/register.php

Kurz darauf erhält man seine Logindaten und es geht los.

2. Schritt: Einloggen und auf Create Regular Tunnel klicken; dann erscheint folgendes Fenster:

.jpg

step1_forum.jpg (Größe: 109,08 KB / Downloads: 6)

3. Schritt: Die angezeigten Daten (wie unten) in das startscript einfügen:

.jpg

step2_forum.jpg (Größe: 85,25 KB / Downloads: 11)

Jetzt erstellen wir ein Startup-script unter /etc/network/if-up.d/startipv6tunnel

Code:

#!/bin/bash

# dieses Script liegt auf /etc/network/if-up.d/startipv6tunnel

# The IPv4 address of the hurricane PoP you're using

HURRICANE4="216.66.80.98" #siehe Screenshot in Schritt 3 (1)

EXTIP="223.67.22.22" #siehe Screenshot in Schritt 3 (2)

TUNNELPREFIX="2001:7f7:25:477::" #siehe Screenshot in Schritt 3 (3) + Anmerkung 1

INTPREFIX="2001:7f7:b6b1::/64" #siehe Screenshot in Schritt 3 (4) + Anmerkung 2

INTPREFIXIP="2001:7f7:b6b1::1" #siehe Screenshot in Schritt 3 (4) + Anmerkung 2

EXTERNALIF="eth0"

INTERNALIF="eth1"

#OPTIONAL:/sbin/ip addr add $EXTIP/32 dev $EXTERNALIF

MYTUNNELIP="${TUNNELPREFIX}2"

HURRICANETUNNELIP="${TUNNELPREFIX}1"

MTU=1280

IPTABLES="/sbin/iptables"

IPT6="/sbin/ip6tables"

IP6DEV="hurricane"

## ENABLING IPv6 Tunnel ##

$IPTABLES -A INPUT -p 41  -s $HURRICANE4 -d $EXTIP -j ACCEPT

$IPTABLES -A OUTPUT -p 41 -d $HURRICANE4 -s $EXTIP -j ACCEPT

$IPTABLES -A POSTROUTING -o $EXTERNALIF -t nat -d $HURRICANE4 -p all -j SNAT --to-source $EXTIP

## ENABLING IPv6 Tunnel ##

/sbin/ip tunnel add $IP6DEV mode sit local ${EXTIP} remote ${HURRICANE4} ttl 255

/sbin/ip link set $IP6DEV up

/sbin/ip -6 addr add ${MYTUNNELIP}/64 dev $IP6DEV

/sbin/ip -6 ro add ::/0 dev $IP6DEV

#INTERNALIF #

/sbin/ip a a $INTPREFIXIP dev $INTERNALIF

/sbin/ip r a $INTPREFIX dev $INTERNALIF

echo "Starting IPv6 firewall..."

#OPTIONAL: enable IPv6 forwarding

#OPTIONAL:echo 1 > /proc/sys/net/ipv6/conf/all/forwarding 

/etc/init.d/radvd restart

$IPT6 -F

$IPT6 -X

$IPT6 -t mangle -F

$IPT6 -t mangle -X

#unlimited access to loopback

$IPT6 -A INPUT -i lo -j ACCEPT

$IPT6 -A OUTPUT -o lo -j ACCEPT

#$IPT6 -P INPUT ACCEPT

#$IPT6 -P OUTPUT ACCEPT

#$IPT6 -P FORWARD ACCEPT

## DROP all incomming traffic

$IPT6 -P INPUT DROP

$IPT6 -P OUTPUT DROP

$IPT6 -P FORWARD DROP

# Allow full outgoing connection but no incomming stuff

$IPT6 -A INPUT -i $IP6DEV -m state --state ESTABLISHED,RELATED -j ACCEPT

$IPT6 -A OUTPUT -o $IP6DEV -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT

# allow incoming ICMP ping pong stuff

$IPT6 -A INPUT -i $IP6DEV -p ipv6-icmp -j ACCEPT

$IPT6 -A OUTPUT -o $IP6DEV -p ipv6-icmp -j ACCEPT

# Clients are allowed to connect to router 

$IPT6 -A INPUT  -i $INTERNALIF -p all -j ACCEPT

$IPT6 -A OUTPUT -o $INTERNALIF -p all -j ACCEPT

# clients are allowed to reach internet

$IPT6 -A FORWARD -i $INTERNALIF -o $IP6DEV -p all -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT

$IPT6 -A FORWARD -o $INTERNALIF -i $IP6DEV -p all -m state --state ESTABLISHED,RELATED -j ACCEPT

############## add your custom rules below ############

#### open IPv6  port 80

##$IPT6 -A INPUT -i $IP6DEV -p tcp --destination-port 80 -j ACCEPT

#### open IPv6  port 22

##$IPT6 -A INPUT -i $IP6DEV -p tcp --destination-port 22 -j ACCEPT

#### open IPv6  port 25

##$IPT6 -A INPUT -i $IP6DEV -p tcp --destination-port 25 -j ACCEPT

############# End custom rules ################

# 

##### no need to edit below ###

## log everything else

#$IPT6 -A INPUT -i $IP6DEV -j LOG

$IPT6 -A INPUT -i $IP6DEV -j DROP

Abschließend radvd konfigurieren:
/etc/radvd.conf:

Code:

interface eth1 {

  AdvSendAdvert on;

    prefix 2001:7f7:b6b1::/64 #siehe Screenshot in Schritt 3 (4) + Anmerkung 2

    {

        AdvAutonomous on;

        AdvOnLink on;

        AdvRouterAddr on;

  };

};

Code:

debian:~# /etc/network/if-up.d/startipv6tunnel

That's it!]]>