Как предпочесть связь в локальной подсети с использованием IPv6 ULA вместо IPv6 GUA?

Это было бы решением, если бы я решил остаться со своей структурой сети. RFC 6724 описывает эту проблему без конкретного решения. Похоже, я сделал что-то не так, когда спроектировал структуру своей сети. Должно быть другое решение, чтобы определить, поступают ли входящие пакеты из моей подсети или нет.

RFC 6724 описывает, как выбирается адрес источника с учетом адреса назначения. То, что иногда GUA, а иногда ULA используются в качестве * исходных * адресов, показывает, что иногда GUA, а иногда и ULA используются в качестве * адресатов *, и это обычно происходит от DNS, возвращающей адреса в случайном порядке. Если вы не думаете, что это причина, отладьте ее: напишите простую программу на C, которая выполняет разрешение имен хостов и распечатывает получаемый IPv6-адрес, запускайте ее несколько раз. Редактирование / etc / gai.conf должно позволить вам предпочитать ULA в качестве адреса назначения, исправляя проблему.

Если вы хотите определить, приходят ли пакеты из вашей подсети или нет, вы можете, если конечно, проверить * все * префиксы, которые вы назначили в своей подсети, включая GUA. Тогда не имеет значения, какие префиксы выбираются на основе DNS.

Спасибо за разъяснения. Я прочитал несколько других постов, таких как this, в которых довольно хорошо описывается моя проблема. Я не хочу редактировать конфигурацию клиента, если не существует решения, позволяющего решить проблему для всех клиентов. В статье выше рекомендуется использовать имя хоста в iptables. Разве это небезопасно, поскольку каждый может назначить себе другое имя хоста и / или домен?

Как я уже писал: проблемный момент заключается в том, как работает ваш DNS (и вы не дали никаких подробностей о том, как он настроен). Вы также не сказали, как вы приобрели свой префикс GUA (у провайдера? Он меняется?). Чтобы быть в безопасности, вы должны контролировать свой DNS (например, через прокси или даже используя / etc / hosts). Если вы можете гарантировать, что (1) у вас есть специальная запись DNS только для ULA, например, в поддомене, или (2) ULA всегда являются предпочтительным выбором, либо через / etc / gai.conf, либо через конфигурацию DNS, или (3) ваш префикс GUA и записи DNS всегда совпадают, тогда вы можете основывать записи iptables на этом.

Так что подумайте о своей инфраструктуре DNS. iptables всегда будет работать на числовой основе. Вы можете регулярно обновлять записи из текущего DNS или устанавливать синхронность через динамический DNS, но DNS является ключевым моментом.

Префикс GUA исходит от моего провайдера. Я получаю полный двойной стек. К сожалению, префикс часто меняется, поэтому я не могу на это полагаться. Мой локальный DNS-сервер работает на моем маршрутизаторе (AVM FritzBox 7590). Я не могу контролировать DNS напрямую через веб-интерфейс, потому что нет никаких опций. Я бы использовал префикс GUA для iptables, если бы он не менялся так часто. Большое спасибо за вашу помощь и терпение.

Таким образом, вы можете выбрать (1) изменить всех клиентов: либо gai.conf (сначала попробуйте один клиент), либо выделенный / etc / hosts для ULA. Массовое изменение их через ssh легко, если ключи установлены; (2) переместите DNS из Fritzbox на другое устройство, которым вы управляете; (3) взломать Fritzbox DNS, экспортировав конфигурацию, расшифровав ее (google), добавив статические записи DNS для ULA и снова импортировав ее.

Спасибо. Я подумаю об этом. Мое предпочтительное решение (2) с использованием выделенного DNS. Похоже, самое чистое решение для меня.