ip6nat

<p>Zde představím ukázkovou konfiguraci pro zprovoznění aplikace, která umožní přesměrovat TCP spojení protokolu ipv6 na konkrétním portu na jiný server.</p>

<h2>Aplikace by měla běžet na igw a to zejména pro účely</h2>

<ul>
	<li>redsysu</li>
	<li>varování, že není zaplaceno</li>
	<li>okamžitého povolení do internetu v případě dynamické adresy pomocí dashboardu (který není ještě hotový)</li>
</ul>

<h2>Je potřeba</h2>

<ul>
	<li>aplikace ip6nat <a href="http://www.suse.de/~krahmer/ip6nat/">http://www.suse.de/~krahmer/ip6nat/</a> <a href="http://d-network.hkfree.org/ip6nat-0.6.tgz">http://d-network.hkfree.org/ip6nat-0.6.tgz</a></li>
	<li>Láďův patch <a href="http://d-network.hkfree.org/ip6nat-0.6-lada.patch">http://d-network.hkfree.org/ip6nat-0.6-lada.patch</a></li>
	<li>ke kompilaci <strong>build-essential</strong> a <strong>libnetfilter-queue-dev</strong></li>
</ul>

<h2>Instalace</h2>

<table class="wysiwyg-macro" data-macro-name="code" data-macro-id="74d93d49-83ef-4278-bf5c-79dcda8ce991" aria-label="code macro" data-macro-parameters="lang=actionscript" data-macro-schema-version="1" style="background-image: url(https://confluence.hkfree.org/plugins/servlet/confluence/placeholder/macro-heading?definition=e2NvZGU6bGFuZz1hY3Rpb25zY3JpcHR9&amp;locale=cs_CZ&amp;version=2); background-repeat: no-repeat;" data-macro-body-type="PLAIN_TEXT"><tr><td class="wysiwyg-macro-body"><pre>cd /usr/srv
wget http://d-network.hkfree.org/ip6nat-0.6.tgz
wget http://d-network.hkfree.org/ip6nat-0.6-lada.patch
tar xzvf ip6nat-0.6.tgz
cd ip6nat
cat ../ip6nat-0.6-lada.patch | patch -p1
make</pre></td></tr></table>

<h2>Konfigurace</h2>

<ul>
	<li>Je potřeba vytvořit soubor ip6nat.conf
<table class="wysiwyg-macro" data-macro-name="code" data-macro-id="39e32a7e-690a-4460-8128-f442d8b132e4" aria-label="code macro" data-macro-parameters="lang=actionscript" data-macro-schema-version="1" style="background-image: url(https://confluence.hkfree.org/plugins/servlet/confluence/placeholder/macro-heading?definition=e2NvZGU6bGFuZz1hY3Rpb25zY3JpcHR9&amp;locale=cs_CZ&amp;version=2); background-repeat: no-repeat;" data-macro-body-type="PLAIN_TEXT"><tr><td class="wysiwyg-macro-body"><pre>tcp dnat 2000::/3 80->::1 1234</pre></td></tr></table></li>
	<li>Spustit
<table class="wysiwyg-macro" data-macro-name="code" data-macro-id="60bb8a65-ccc5-474c-a2c8-1249741ad29e" aria-label="code macro" data-macro-parameters="lang=actionscript" data-macro-schema-version="1" style="background-image: url(https://confluence.hkfree.org/plugins/servlet/confluence/placeholder/macro-heading?definition=e2NvZGU6bGFuZz1hY3Rpb25zY3JpcHR9&amp;locale=cs_CZ&amp;version=2); background-repeat: no-repeat;" data-macro-body-type="PLAIN_TEXT"><tr><td class="wysiwyg-macro-body"><pre>./ip6dnat -c ip6dnat.conf</pre></td></tr></table></li>
	<li>Nastavit iptables
<table class="wysiwyg-macro" data-macro-name="code" data-macro-id="b155a1b1-2692-40d6-902a-3d9320b3b5cc" aria-label="code macro" data-macro-parameters="lang=actionscript" data-macro-schema-version="1" style="background-image: url(https://confluence.hkfree.org/plugins/servlet/confluence/placeholder/macro-heading?definition=e2NvZGU6bGFuZz1hY3Rpb25zY3JpcHR9&amp;locale=cs_CZ&amp;version=2); background-repeat: no-repeat;" data-macro-body-type="PLAIN_TEXT"><tr><td class="wysiwyg-macro-body"><pre>ip6tables -t raw -A PREROUTING -p tcp --dport 80 -j QUEUE
ip6tables -t raw -A OUTPUT -p tcp --sport 1234 -j QUEUE</pre></td></tr></table></li>
</ul>

<p>Tímto bude spojení nasměrováno na localhost (::1) na routeru, na kterém ip6nat běží (tam už může čekat http server, který vrací redirect). Pokud budeme chtít nasměrovat jinam, je pak nutné v druhém pravidle místo OUTPUT použít opět PREROUTING.</p>

<p>První pravidlo v iptables lze přenastavit, aby nasměrovávalo pouze vybrané adresy např. parametrem -s, nebo použít extra chain.</p>

<h2>Co dělá patch:</h2>

<p>V případě, že do dnat cílové routy (kam chceme lidem zabránit se dostat) patřil zároveň nasměrovaný uživatel, vracející se paket byl opět nasměrován na cílový server. Autor zřejmě nepočítal s tím, že použijeme default routu a že se tudíž zakázaná oblast bude překrývat se zdrojem. Patch toto opravuje jednoduše - pravidla pro vracející se pakety se vyhodnocují před pravidlem pro odeslané pakety. Nic dalšího se snad nerozbilo <img class="emoticon emoticon-smile" data-emoticon-name="smile" border="0" src="/s/-u798cy/9104/fpsc10/_/images/icons/emoticons/smile.svg" alt="(úsměv)" title="(úsměv)" data-emoji-short-name=":smile:" /></p>