Làm thế nào để cho phép giao thức-41 (6in4) thông qua tường lửa GCE?

Question

Là điểm dừng cho đến khi Google hỗ trợ native IPv6 on Google Compute Engine, tôi muốn định cấu hình 6in4 (IP protocol 41) tunnel.

tôi đã thêm một quy tắc tường lửa để cho phép giao thức 41 trên mạng VM của tôi:

Name  Source tag/IP range Allowed protocols/ports Target tags 
allow-6in4 216.66.xxx.xxx   41       Apply to all targets 

Và cấu hình đường hầm trong /etc/network/interfaces:

auto 6in4 
iface 6in4 inet6 v4tunnel 
    address 2001:470:xxxx:xxxx::2 
    netmask 64 
    endpoint 216.66.xxx.xxx 
    gateway 2001:470:xxxx:xxxx::1 
    ttl 64 
    up ip link set mtu 1280 dev $IFACE 

Và ping6 2001:470:xxxx:xxxx::1 và xác minh rằng giao thông 6in4 là outbound:

$ sudo tcpdump -pni eth0 host 216.66.xxx.xxx 
tcpdump: verbose output suppressed, use -v or -vv for full protocol decode 
listening on eth0, link-type EN10MB (Ethernet), capture size 65535 bytes 
22:52:03.732841 IP 10.240.xxx.xxx > 216.66.xxx.xxx: IP6 2001:470:xxxx:xxxx::2 > 2001:470:xxxx:xxxx::1: ICMP6, echo request, seq 1, length 64 
22:52:04.740726 IP 10.240.xxx.xxx > 216.66.xxx.xxx: IP6 2001:470:xxxx:xxxx::2 > 2001:470:xxxx:xxxx::1: ICMP6, echo request, seq 2, length 64 
22:52:05.748690 IP 10.240.xxx.xxx > 216.66.xxx.xxx: IP6 2001:470:xxxx:xxxx::2 > 2001:470:xxxx:xxxx::1: ICMP6, echo request, seq 3, length 64 

Tôi đã thay đổi điểm cuối temporaril y đến một địa chỉ nơi tôi có thể chạy tcpdump và xác nhận rằng các gói không đến đích. Tôi thậm chí đã thử NAT bản thân mình trong trường hợp GCE đã không làm điều này cho các gói 6in4, nhưng không có may mắn (iptables -t nat -A POSTROUTING -p ipv6 -j SNAT --to-source 130.211.xxx.xxx).

Có ai nhận được đường hầm 6in4 để hoạt động trên máy ảo GCE không? Có một số thiết lập ma thuật mà tôi đã bỏ lỡ ở đâu đó không?

Answer 1

TL; DR: Bạn không thể.

mỗi Networking and Firewalls:

giao thông có sử dụng một giao thức khác ngoài TCP, UDP, ICMP và bị chặn, trừ khi được phép một cách rõ ràng thông qua Nghị định thư Forwarding.

mỗi Protocol Forwarding:

Google Compute Engine hỗ trợ chuyển tiếp giao thức cho giao thức sau:

AH: Chỉ định giao thức IP Authentication Header.

ESP: Chỉ định giao thức tải trọng bảo mật đóng gói IP.

SCTP: Chỉ định Giao thức truyền kiểm soát luồng.

TCP: Chỉ định Giao thức điều khiển truyền.

UDP: Chỉ định Giao thức dữ liệu người dùng.

Do đó, một quy tắc Nghị định thư Forwarding cần phải được cho một trong những IP protocol numbers sau:

• 51 (AH)
• 50 (ESP)
• 132 (SCTP)
• 6 (TCP)
• 17 (UDP)

Trang Protocol Forwarding làm cho nó rõ ràng rằng số giao thức khác, chẳng hạn như 41 (6in4) không được hỗ trợ:

Lưu ý: Đây là một danh sách đầy đủ các giao thức được hỗ trợ. Chỉ các giao thức xuất hiện ở đây mới được hỗ trợ để chuyển tiếp giao thức.