Zde můžete vidět rozdíly mezi vybranou verzí a aktuální verzí dané stránky.
Obě strany předchozí revizePředchozí verzeNásledující verze | Předchozí verzeNásledující verzeObě strany příští revize | ||
informace:projekty:ipv6tunel [2021/07/21 14:00] – [Jak zprovoznit tunel] - přílohy jsou zlo oskar | informace:projekty:ipv6tunel [2024/01/04 19:13] – [Jak zprovoznit tunel] oskar | ||
---|---|---|---|
Řádek 8: | Řádek 8: | ||
Pokud je k dispozici veřejná IPv4 adresa, je možné zařídit tunel od [[https:// | Pokud je k dispozici veřejná IPv4 adresa, je možné zařídit tunel od [[https:// | ||
- | |||
- | ===== Řešení pomocí OpenVPN ===== | ||
- | |||
- | K tunelování IPv6 provozu používáme OpenVPN verze 2.4 s vypnutým šifrováním a autentizací provozu – to z důvodu nedostatku výkonu na straně klienta. Používá se UDP provoz na standardním portu 1194. Každý klient se autentizuje certifikátem. Každému klientovi je **staticky** přidělena jedna spojovací IPv6 adresa a podsíť o délce prefixu /48. | ||
- | |||
- | Klientský certifikát je platný jeden rok. Před uplynutím jeho platnosti je třeba požádat o vydání nového. Záměrem tohoto nepohodlného opatření je, aby každý uživatel **nejméně jednou ročně napsal svému poskytovateli připojení dotaz na stav podpory IPv6**. | ||
- | |||
- | ==== Jak zprovoznit tunel ==== | ||
- | |||
- | - Napište svému ISP dotaz ohledně podpory IPv6. | ||
- | - Požádejte o tunel prostřednictvím e-mailu na **ipv6tun@vpsfree.cz**. | ||
- | - Obdržíte konfigurační soubor pro OpenVPN klienta. | ||
- | - Upravte soubor podle své potřeby. | ||
- | - Nakonfigurujte svůj router tak, aby do domácí sítě přiděloval nějaké adresy z přidělené podsítě. (Konfigurační soubor obsahuje ukázku konfigurace pro OpenWRT) | ||
- | |||
- | ==== Příklad konfigurace OpenVPN pro OpenWRT ==== | ||
- | |||
- | V tomto případě je ukázka přímo v dodaném konfiguračním souboru. Konfigurační soubor stačí uložit tak, jak je (s příponou '' | ||
- | |||
- | <file | / | ||
- | config openvpn custom_config | ||
- | option enabled 1 | ||
- | option config / | ||
- | </ | ||
- | |||
- | Dále je potřeba vytvořit nové logické rozhraní: | ||
- | |||
- | <file | / | ||
- | config interface ' | ||
- | option ifname ' | ||
- | option proto ' | ||
- | option ip6addr '< | ||
- | option ip6gw '< | ||
- | option ip6prefix '< | ||
- | </ | ||
- | |||
- | a přidat logické rozhraní `ipv6tun` do firewallové zóny `wan`: | ||
- | |||
- | <file | / | ||
- | config zone | ||
- | option name ' | ||
- | option network 'wan wan6 ipv6tun' | ||
- | option ... | ||
- | </ | ||
===== Řešení pomocí Wireguardu ===== | ===== Řešení pomocí Wireguardu ===== | ||
- | Testujeme také použití moderního tunelovacího protokolu [[navody: | + | Je možné |
Používá se UDP provoz na portu 51820. Každý klient se autentizuje párem veřejného a soukromého klíče. Každému klientovi je **staticky** přidělena jedna spojovací IPv6 adresa a podsíť o délce prefixu /48. | Používá se UDP provoz na portu 51820. Každý klient se autentizuje párem veřejného a soukromého klíče. Každému klientovi je **staticky** přidělena jedna spojovací IPv6 adresa a podsíť o délce prefixu /48. | ||
- | Každý tunel má nastavené datum exspirace | + | Každý tunel <del>má</ |
==== Jak zprovoznit tunel ==== | ==== Jak zprovoznit tunel ==== | ||
- Napište svému ISP dotaz ohledně podpory IPv6. | - Napište svému ISP dotaz ohledně podpory IPv6. | ||
- | - Vygenerujte dvojici soukromého a veřejného klíče: '' | + | - Vygenerujte dvojici soukromého a veřejného klíče: '' |
- | - Požádejte o tunel prostřednictvím e-mailu na **ipv6tun@vpsfree.cz**. Nezapomeňte připojit veřejný klíč. Prosím **neposílejte klíč v příloze, vložte ho přímo do textu zprávy**. | + | - Požádejte o tunel prostřednictvím e-mailu na **ipv6tun@vpsfree.cz**. Nezapomeňte připojit veřejný klíč. Prosím **neposílejte klíč v příloze, vložte ho přímo do textu zprávy**. Pokud se konec tunelu má nacházet **na Slovensku**, |
- | - Obdržíte e-mail s příkladem konfigurace pro wg-quick a OpenWRT. | + | - Obdržíte e-mail s příkladem konfigurace pro wg-quick a OpenWRT. |
- Doplňte do konfiguračního souboru svůj privátní klíč a nakonfigurujte svého klienta. | - Doplňte do konfiguračního souboru svůj privátní klíč a nakonfigurujte svého klienta. | ||
- Nakonfigurujte svůj router tak, aby do domácí sítě přiděloval nějaké adresy z přidělené podsítě. | - Nakonfigurujte svůj router tak, aby do domácí sítě přiděloval nějaké adresy z přidělené podsítě. | ||
Řádek 76: | Řádek 32: | ||
# FIXME: Insert your private key | # FIXME: Insert your private key | ||
PrivateKey = | PrivateKey = | ||
- | Address = 2a03: | + | Address = 2a03: |
+ | # Případně lze nastavit hodnotu ListenPort na libovolnou hodnotu. Ve výchozím stavu by měla být zvolena náhodná hodnota automaticky. | ||
+ | #ListenPort = 51820 | ||
[Peer] | [Peer] | ||
Řádek 82: | Řádek 40: | ||
PublicKey = r7vzF6irpXSmkTibIHztIcfc/ | PublicKey = r7vzF6irpXSmkTibIHztIcfc/ | ||
AllowedIPs = ::/0 | AllowedIPs = ::/0 | ||
+ | # | ||
</ | </ | ||
Řádek 91: | Řádek 50: | ||
option proto ' | option proto ' | ||
option private_key ' | option private_key ' | ||
- | option ip6prefix ' | + | option ip6prefix ' |
- | list addresses ' | + | list addresses ' |
config wireguard_wgipv6tun | config wireguard_wgipv6tun | ||
Řádek 100: | Řádek 59: | ||
option public_key ' | option public_key ' | ||
list allowed_ips '::/ | list allowed_ips '::/ | ||
+ | #option persistent_keepalive ' | ||
+ | | ||
config route6 ' | config route6 ' | ||
option interface ' | option interface ' | ||
option target '::/ | option target '::/ | ||
- | option source ' | + | option source ' |
config route6 ' | config route6 ' | ||
option interface ' | option interface ' | ||
option target '::/ | option target '::/ | ||
- | option source ' | + | option source ' |
</ | </ | ||
Řádek 116: | Řádek 77: | ||
< | < | ||
/ | / | ||
- | / | + | / |
- | / | + | / |
- | / | + | / |
</ | </ | ||
+ | |||
+ | Poznámka: kromě uvedené konfigurace bude také nejspíš vhodné nastavit IPv6 adresy na LAN straně routeru. Také může být potřeba povolit provoz Wireguardového tunelu ve firewallu. Ve [[https:// | ||
+ | |||
+ | ===== Nastavte přidělený blok jako Unreachable ===== | ||
+ | |||
+ | Je velmi pravděpodobné, | ||
+ | |||
+ | < | ||
+ | ip -6 route add unreachable 2a03: | ||
+ | </ | ||
+ | |||
+ | Tento příkaz je třeba spustit po každém startu. Pokud používáte OpenWRT, není třeba nic řešit, toto chování je výchozí. | ||
===== Povolení příchozího provozu na OpenWRT ===== | ===== Povolení příchozího provozu na OpenWRT ===== | ||
Řádek 145: | Řádek 118: | ||
option target ' | option target ' | ||
</ | </ | ||
+ | ===== Řešení pomocí OpenVPN ===== | ||
+ | |||
+ | **Použití OpenVPN pro nové instalace nedoporučujeme. Wireguard se ukazuje jako jednodušší a spolehlivnější.** | ||
+ | |||
+ | K tunelování IPv6 provozu je možné také použít OpenVPN verze 2.4 s vypnutým šifrováním a autentizací provozu – to z důvodu nedostatku výkonu na straně klienta. Používá se UDP provoz na standardním portu 1194. Každý klient se autentizuje certifikátem. Každému klientovi je **staticky** přidělena jedna spojovací IPv6 adresa a podsíť o délce prefixu /48. | ||
+ | |||
+ | Klientský certifikát je platný jeden rok. Před uplynutím jeho platnosti je třeba požádat o vydání nového. Záměrem tohoto nepohodlného opatření je, aby každý uživatel **nejméně jednou ročně napsal svému poskytovateli připojení dotaz na stav podpory IPv6**. | ||
+ | |||
+ | ==== Jak zprovoznit tunel ==== | ||
+ | |||
+ | - Napište svému ISP dotaz ohledně podpory IPv6. | ||
+ | - Požádejte o tunel prostřednictvím e-mailu na **ipv6tun@vpsfree.cz**. | ||
+ | - Obdržíte konfigurační soubor pro OpenVPN klienta. | ||
+ | - Upravte soubor podle své potřeby. | ||
+ | - Nakonfigurujte svůj router tak, aby do domácí sítě přiděloval nějaké adresy z přidělené podsítě. (Konfigurační soubor obsahuje ukázku konfigurace pro OpenWRT) | ||
+ | |||
+ | ==== Příklad konfigurace OpenVPN pro OpenWRT ==== | ||
+ | |||
+ | V tomto případě je ukázka přímo v dodaném konfiguračním souboru. Konfigurační soubor stačí uložit tak, jak je (s příponou '' | ||
+ | |||
+ | <file | / | ||
+ | config openvpn custom_config | ||
+ | option enabled 1 | ||
+ | option config / | ||
+ | </ | ||
+ | |||
+ | Dále je potřeba vytvořit nové logické rozhraní: | ||
+ | |||
+ | <file | / | ||
+ | config interface ' | ||
+ | option ifname ' | ||
+ | option proto ' | ||
+ | option ip6addr '< | ||
+ | option ip6gw '< | ||
+ | option ip6prefix '< | ||
+ | </ | ||
+ | |||
+ | a přidat logické rozhraní `ipv6tun` do firewallové zóny `wan`: | ||
+ | |||
+ | <file | / | ||
+ | config zone | ||
+ | option name ' | ||
+ | option network 'wan wan6 ipv6tun' | ||
+ | option ... | ||
+ | </ | ||
+ | |||