RouterOS IPV6设置 Ros能较好支持IPV6 以SLAAC方式来配置IPV6
- RouteroS说明
根据 Mikrotik 官方文档,目前 RouterOS能较好的支持以SLAAC方式来配置IPv6,而 RouterOS 的 DHCPv6 暂时只支持通告前缀信息,不能分发地址。
1、获取IPV6前缀
使用 Winbox 登录 RouterOS ,点击左侧导航 IPv6 菜单的子菜单 Settings 。
取消勾选 Disable IPv6 ,表示开启 RouterOS IPv6 相关功能。
并将 Max Neighbor Entries 参数(类似于 ARP 表最大条目数)修改为合适的数值,演示为1024
点击左侧导航 IPv6 菜单的子菜单 DHCP Client ,点击 + 按钮。
参数 | 值 | 说明 |
---|---|---|
Interface | pppoe-out1 | 从 PPPoE 拨号中获取 IPv6 前缀 |
Request | prefix | 表示只获取前缀信息 |
Pool Name | dhcpv6-gua-pool1 | 设置本地 IPv6 地址池名称 |
Pool Prefix Length | 60 | 设置本地 IPv6 地址池长度 |
Use Peer DNS | 取消勾选 | 不使用运营商的 IPv6 DNS |
Add Default Route | 不勾选 | 是否加入默认路由,建议是无需勾选 |
Comment | defconf: local DHCPv6 client | 备注信息 |
Pool Prefix Length 参数默认值为 64 ,该参数与运营商相关,建议与运营商提供的参数保持一致。
国内环境,该参数一般为 56 、 60 、 64 ,不同的 Pool Prefix Length 将影响内网 IPv6 子网数量。
国内运营商 Pool Prefix Length 参考如下,欢迎提交信息。
电信宽带: 56
移动宽带: 60
联通宽带: 60
对于 Add Default Route 参数,没有相关 RFC 文档表明 DHCPv6 Client 在仅获取前缀时需要添加默认路由。
经过测试,该选项勾选与否均不影响后续设置以及 IPv6 的网络访问。
DHCPv6 Client 创建完成后,如果正确获取到了 IPv6 前缀信息,将如图所示。
如果未获取到前缀信息,尝试让 PPPoE 重新拨号。
如果在重新拨号后,仍未获取 IPv6 的前缀信息,那么运营商可能并未提供 IPv6 接入能力。
2、设置接口 IPv6 地址
在设置接口 IPv6 时,拨号接口 pppoe-out1 是 无需 分配 IPv6 公网地址的。
只需给网桥接口 bridge1 分配一个 IPv6 GUA 公网地址,并附加一个 IPv6 ULA 私有地址即可。
注意:
当前 RouterOS IPv6 还未设置防火墙,给内部接口分配公网 IPv6 之后,RouterOS 相当于已经与公网互联。
如果当前 RouterOS 有不完善的安全设置(比如使用了弱登录密码),系统存在被入侵的风险。
因此建议先关闭 DHCPv6 Client ,直到 RouterOS IPv6 防火墙等内容设置完成后,再将其打开。
3、分配 IPv6 公网地址
点击 Winbox 左侧导航 IPv6 菜单的子菜单 Addresses ,点击 + 按钮。
参数 | 值 | 说明 |
---|---|---|
Address | ::1/64 | 自动匹配前缀,前缀长度 64 ,并使用顺序第一个地址 |
From Pool | dhcpv6-gua-pool1 | 选择 DHCPv6 Client 中创建的地址池 |
Interface | bridge1 | 选择内部网桥接口 |
Advertise | 勾选 | 勾选该选项,内网设备将生成公网 IPv6 地址 |
Comment | defconf: local LAN GUA IPv6 address | 备注信息 |
4、分配 IPv6 私有地址
根据 RFC4193 - Unique Local IPv6 Unicast Addresses 中给出的定义,IPv6 ULA 私有地址前缀为 FC00::/7 。
该前缀包含 FC00::/8 和 FD00::/8 两个部分,严格意义上 ULA 目前应该使用 FD00::/8 。
在实际使用场景下,建议使用类似 RFC4193 IPv6 Generator 的工具来生成符合规范的 ULA 私有地址。
该工具只需要输入接口(例如 RouterOS 的 bridge1 )的 MAC 地址即可。
得到符合规范的 ULA 私有地址,如图所示。
回到 Winbox ,再次点击 + 按钮。
参数 | 值 | 说明 |
---|---|---|
Address | fdac::1/64 | 指定前缀,前缀长度 64 ,并使用顺序第一个地址 |
Interface | bridge1 | 选择内部网桥接口 |
Advertise | 勾选 | 勾选该选项,内网设备将生成私有 IPv6 地址 |
Comment | defconf: local LAN ULA IPv6 address | 备注信息 |
注意:方便起见,本文使用 fc00::/64 作为演示。
DHCPv6 Client 正确获取 IPv6 前缀,并且内部网桥 bridge1 两个 IPv6 地址均添加完成后,如图所示。
5、设置 ND 服务前缀
点击 Winbox 左侧导航 IPv6 菜单的子菜单 ND 。
在 Neighbor Discovery 对话框中切换到 Prefixes 选项卡。
这里可以看 Prefix 列表中的 fdac::/64 被标记为 D ,表示该条目为 “自动动态生成” 条目。
点击 Default ,修改 Prefix 的有效期。
根据 Systemd.Network 中的描述:
经过一段时间的测试,将 Preferred Lifetime 设置为 1 小时,将 Valid Lifetime 设置为 2 小时较为可靠。
参数 | 值 | 说明 |
---|---|---|
Valid Lifetime | 02:00:00 | IPv6 地址最大有效期 |
Preferred Lifetime | 01:00:00 | IPv6 地址建议有效期 |
6、设置ND通告
在 Neighbor Discovery 对话框中切换到 Interfaces 选项卡。
鼠标 单击 选中 Interface 为 all 的条目,点击 × 按钮将其禁用。
点击 + 按钮,新增一个 ND 通告配置。
如果内网环境中 没有 自建 DNS 服务器,则可以将 DNS Servers 参数设置为 fdac::1 ,与 bridge1 的 ULA IPv6 地址相同。
参数 | 值 | 说明 |
---|---|---|
Interface | bridge1 | 选择 ND 通告使用的接口 |
RA Interval | 60-120 | 设置 ND 通告的时间间隔,时间单位为秒 |
Hop Limit | 64 | 缺省情况下,由设备初始发送 IPv6 单播报文的跳数限制是 64 |
DNS Servers | fdac::1 | ND 通告的 IPv6 的 DNS 服务器地址 |
Advertise MAC Address | 建议勾选 | ND 通告中将包含接口的 MAC 地址信息 |
Advertise DNS | 必须勾选 | ND 通告中将包含指定的 DNS 服务器 |
也可以添加公共的IPV6 DNS服务器
7、修改系统DNS
修改系统 DNS
启用 IPv6 后,需要给 RouterOS 重新指定上游 DNS 服务器地址。
点击 Winbox 左侧导航 IP 菜单的子菜单 DNS ,并修改 Servers 参数。
在 Servers 处增加国内知名的 DNS 服务提供商的 IPv6 地址。
8、设置IPv6防火墙
IPv6 防火墙同样涉及 address-list 、filter 、nat 、mangle 、raw 等内容。
依然建议复制防火墙配置命令,一次性全部粘贴到 CLI 中进行 “一键配置” 。
如果需要使用 NAT66 来访问外部 IPv6 网络,请在 nat 表中启用第一条防火墙规则。
由于防火墙的配置命令很长,因此请根据实际情况选择对应的 IPv6 防火墙配置脚本。
联网模式 | 内网DNS | 防火墙模式 |
---|---|---|
PPPOE | 否 | 高级 |
代码如下:
联网模式 | 内网DNS | 防火墙模式 |
---|---|---|
PPPOE | 是 | 高级 |
代码如下:
联网模式 | 内网DNS | 防火墙模式 |
---|---|---|
PPPOE | 否 | 精简 |
防火墙配置命令中的部分 IPv6 ULA 地址需要根据实际情况进行调整。
内网使用的 IPv6 ULA 地址前缀 fc00::/64
RouterOS 的 IPv6 ULA 地址 fc00::1
内网 DNS 服务器的 IPv6 ULA 地址 fc00::2
IPv6 防火墙配置完成后,回到 Winbox,点击左侧导航 IPv6 菜单的子菜单 Firewall 并查看防火墙各个选项卡中内容。
确认防火墙条目与命令中的条目一致后,便可启用 IPv6 的 DHCPv6 Client ,建议重启一次 RouterOS。
重启内网设备的网卡,检查是否获取了 GUA / ULA 地址。
Windows10 IPv6 连接处会显示 Internet ,表示此时 Windows 是可以访问 IPv6 网络的。
可以通过这个网站来进行测试 IPv6 Test 。
设置 IPv6 黑洞路由
IPv6 黑洞路由 blackhole route 是一组静态路由,基于 RFC6890 - Special-Purpose IP Address Registries 创建。
配置 IPv6 黑洞路由时,将以下命令一次性全部粘贴到 CLI 中执行即可。
点击 Winbox 左侧导航 IP 菜单的子菜单 Routes 并查看防火墙各个选项卡中内容。
至此,RouterOS 设置 IPv6 步骤完成。
还没有评论,来说两句吧...