Dnsmasq实现ipv4/v6双栈地址动态分配

2022-09-02 10:49 系统架构狂奔的蜗牛

**简介**

随着互联网的升级改造，ipv6地址在各行各业以及人们的日常生活中开始变得普及起来。在ipv6的场景下，多数时候用户是通过新的动态地址分配协议DHCPv6获得可用地址并接入网络的。然而作为相对专业的网络维护人员，需要对这些新的协议及具体实现应该有更多的了解和掌握。本文通过在Debian Gnu/Linux下使用Dnsmasq服务组件来构建一台可以向下端用户提供ipv4/v6地址及DNS自动分配的双栈网关设备来帮助用户理解该协议。同时根据网络上对于Dnsmasq软件相关技术叙述文章，该技术方法也可用于1000台以下规模的动态地址分配网络环境部署，可以为中小企业提供很好的内部ipv4/v6双栈化组网解决方法。结合nat技术，也可以为中小企业提供互联网ipv4/v6双栈化网关功能。

**软件环境**

操作系统：Debian Gnu/Linux

内核：Debian 5.10.84-1

Dnsmasq组件：Dnsmasq version 2.80

**组件安装**

用户在安装操作系统结束后，需要使用命令“apt intall dnsmasq-base dnsmasq dnsutils nftables”,之后修改相应的dnsmasq配置文件,系统将成为DHCPv6服务器,其实该组件目前在多数Linux发行版本中均已支持,用户也可以使用其它版本实现该功能，“dnsutils”组件是一个DNS查询软件，安装该软件组件的目的主要是为了进行DNS查询方便，用户可以确定该系统本身上联dns服务器是否正常。“nftables”组件的功能目的是为了向用户演示当该设备作为ipv4/v6互联网出口网关设备时需要进行的NAT配置。

**功能配置**

**1**、内核参数修改：

用户在安装完以上功能组件后，需要首先通过命令“vi /etc/sysctl.conf”修改内核参数文件，并加入如下参数：

net.ipv6.conf.all.accept_ra = 2

net.ipv6.conf.all.forwarding = 1

net.ipv4.conf.all.forwarding = 1

net.ipv4.ip_forward=1

参数“net.ipv6.conf.all.accept_ra = 2”，具体含义是接受IPv6路由通告，并且根据得到的信息自动设定，参数0：不接受路由通告1：当forwarding禁止时接受路由通告2：任何情况下都接受路由通告。后三项参数为作用是在本计算机上打开所有网络接口的ipv4/v6转发功能，很类似早期在Cisco交换机中执行“ip routeing”命令的效果。

**2**、配置****dnsmasq****服务组件功能

使用命令`vi /etc/dnsmasq.conf`,修改,如果没有则添加该行内容，如果有该行则修改为文档中的参数如下行：
```text
domain-needed
bogus-priv
resolv-file=/etc/resolv.dnsmasq.conf
all-servers
interface=wlan1 #后期启用radvd后，该行可注释
listen-address=127.0.0.1,192.168.8.1,fd00::1,::1
bind-interfaces #后期启用radvd后，该行可注释
no-hosts
dhcp-range=192.168.8.88,192.168.8.118,12h
dhcp-range=fd00::2, fd00::500, ra-stateless, 64, 12h
enable-ra
dhcp-option=option6:information-refresh-time, 6h
dhcp-option=3,192.168.8.1
dhcp-option=6,192.168.8.1
dhcp-option=option6:dns-server,[fd00::1],[::]
dhcp-authoritative
```
其中，参数“**interface=wlan1**”指定dhcp服务监听网卡，该参数必须和“**bind-interfaces**”同时配置，用户才能正确获得相应的ipv6地址，否则用户还是只能获得相应的动态ipv4地址和DNS信息。参数“**listen-address=127.0.0.1,192.168.8.1,fd00::1,::1**”指定主机上的这些IP地址作为dhcp服务监听地址，通常情况下只使用ipv4动态地址解析时，配置该条参数即可。参数“**dhcp-range=fd00::2, fd00::500, ra-names, 64, 12h**”“**dhcp-option=option6:dns-server,[fd00::1],[::]**”为ipv6动态dhcp具体参数，参数中“fd00::2，fd00::500”为客户端动态ipv6地址范围，“ra-names”为ipv6动态分配模式。参数“**dhcp-option=option6:dns-server,[fd00::1],[::]**”为ipv6动态分配DNS地址，地址“**fd00::1**”为该主机设置随后要设置的ipv6地址，用户要根据自己的实际配置进行修改。

**3**、设置网卡参数**

使用主机提供的网络设置工具，将网卡wlan1的网络配置修改为静态地址，

ipv4地址为：192.168.8.1/24,ipv6地址为：fd00::1/64。具体设置方法相对通用，笔者不再赘述，用户可根据自己的Linux发行版本进行静态地址设置。

**4**、****nftables****防火墙配置

因为nftables防火墙目前网上相关基础规则编写和配置的文章相对普及，笔者只将相关此次实验中该设备作为ipv4/v6互联网出口网关设备时的相应NAT规则链提供给读者，使用命令“vi /etc/nftables.conf”编辑防火墙配置文件，增加如下规则：

table ip nat {

chain PREROUTING {

type nat hook prerouting priority -100; policy accept;

}

chain INPUT {

type nat hook input priority 100; policy accept;

}

chain POSTROUTING {

type nat hook postrouting priority 100; policy accept;

oifname "eth0" ip saddr 192.168.8.0/24 counter masquerade

}

chain OUTPUT {

type nat hook output priority -100; policy accept;

}

table ip6 nat {

chain PREROUTING {

type nat hook prerouting priority -100; policy accept;

}

chain INPUT {

type nat hook input priority 100; policy accept;

}

chain POSTROUTING {

type nat hook postrouting priority 100; policy accept;

oifname "eth0" counter masquerade

}

chain OUTPUT {

type nat hook output priority -100; policy accept;

}

用户只是将该设备作为dhcp双栈服务器，可不进行相应配置。

手动打开特定端口入向：

客户端主机执行：

```bash
nft add rule ip filter INPUT meta iifname wlan0 udp dport 56142 ct state new accept //添加到结尾
or
nft insert rule ip filter INPUT meta iifname wlan0 udp dport 56142 ct state new counter accept //插入到最前
```

出口网关设备:

```bash
nft add ip nat PREROUTING meta iifname eth0 udp dport 56142 dnat 192.168.8.101:56142
nft add ip nat PREROUTING meta iifname eth0 udp dport 56142 counter
```

**5****、****radvd****配置**

使用命令“vi /etc/radvd.conf”编辑该文件，确保加入一下内容：

interface wlan1{

AdvSendAdvert on;           #启用路由器公告（RA）功能

MinRtrAdvInterval 30;       #每隔30-100秒间隔发送公告消息

MaxRtrAdvInterval 100;        #spf

AdvManagedFlag off;          # M值

AdvOtherConfigFlag on;      # O 值#spf

prefix fd01::/64    #发送的前缀信息

{

AdvOnLink on;

AdvAutonomous on;   #公告的前缀可用来自动位置配置

AdvRouterAddr on;

};

**验证双栈****DHCP****功能**

笔者将一台客户端计算机通过接入双栈DHCP服务器所在的网络，同时设置网卡的ipv4/v6均为自动获取ip地址，并启用了ipv4/v6互联网出口网关设备模式，通过命令“ip address”得到如下信息：
```text
wlan0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc mq state UP group default qlen 1000

link/ether 60:67:20:dd:58:7c brd ff:ff:ff:ff:ff:ff

inet 192.168.8.101/24 brd 192.168.8.255 scope global dynamic noprefixroute wlan0

valid_lft 40584sec preferred_lft 40584sec

inet6 fd00::c3b:c2b7:ff94:ba2c/64 scope global dynamic noprefixroute

valid_lft 42841sec preferred_lft 42841sec

inet6 fe80::c75d:29ba:1dc6:d40d/64 scope link noprefixroute

valid_lft forever preferred_lft forever
```

其中
```
fd00::c3b:c2b7:ff94:ba2c/64 192.168.8.101/24
```
分别 就是由DHCP获得的ipv6/v4地址，通过命令“ip route”“ip -6 route”分别得到ipv4路由：
```
default via 192.168.8.1 dev wlan0 proto dhcp metric 600

192.168.8.0/24 dev wlan0 proto kernel scope link src 192.168.8.101 metric 600
```
ipv6路由：
```text
::1 dev lo proto kernel metric 256 pref medium

fd00::/64 dev wlan0 proto ra metric 600 pref medium

fe80::/64 dev wlan0 proto kernel metric 600 pref medium

default via fe80::ca3a:35ff:feb0:2a0b dev wlan0 proto ra metric 600 pref medium
```
使用“ping”命令测试北京邮电大学 IPv6 DNS 服务器结果如下：
```text
[root@localhost ~]# ping 2001:da8:202:10::36

PING 2001:da8:202:10::36(2001:da8:202:10::36) 56 data bytes

64 bytes from 2001:da8:202:10::36: icmp_seq=1 ttl=48 time=30.0 ms

64 bytes from 2001:da8:202:10::36: icmp_seq=2 ttl=48 time=24.8 ms

64 bytes from 2001:da8:202:10::36: icmp_seq=3 ttl=48 time=23.7 ms
```
至此，Dnsmasq实现ipv4/v6双栈地址动态分配配置完成。

**后记**

ipv6已经普及了一段时间，尤其是近年来随着国家互联网+战略的不断落地，这一趋势正在呈现加速态势，作为一项新的技术，尽管存在了很多年，但对于相当一部分网络维护管理人员还是相对陌生，陌生的不是理论，而是在实际工作生活环境中没有对应切实和真实的应用场景。希望笔者的实验部署能给广大计算机维护和网络维护管理人员一些真实的现场体验，尤其是动手之后带来的那种更实在更具体的对ipv6技术的理解。

作者：狂奔的蜗牛 出处： http://www.host900.com/

本文版权归作者所有，欢迎转载。未经作者同意下，必须在文章页面明显标出原文链接及作者，否则保留追究法律责任的权利。

如果您认为这篇文章还不错或者有所收获，可以分享给您的小伙伴，因为你的支持是我继续写作，分享的最大动力！

上一篇sshguard简介及对抗SSH探测实践