Auteur Sujet: Tunnel Hurricane Electric: peut pinger mais pas de trafic (Linux Debian 10) (Lu 5017 fois)

thenico · « **Réponse #24 le:** 05 juin 2020 à 00:50:16 »

AllowedIPs = ::/0 du côté client.

StardustOne · « **Réponse #25 le:** 05 juin 2020 à 01:08:32 »

Ok, c'est mieux, je peux ping mon peer dedibox, mais ça ne dépasse pas ma nouvelle gateway ipv6 fd42:42:42::1

Je ne peut rien ping (à part la GW) en ipv6. Par contre en ipv4, c'est OK.

Code: [Sélectionner]

ip -6 r
::1 dev lo proto kernel metric 256 pref medium
fd42:42:42::/64 dev wg0 proto kernel metric 256 pref medium
fe80::/64 dev enp0s31f6 proto kernel metric 256 pref medium
default dev wg0 metric 1024 pref medium

cali · « **Réponse #26 le:** 05 juin 2020 à 02:06:22 »

Tu veux utiliser ton serveur comme relai ?

Enlève iptables et rajoute une route pour router ton préfixe HE dans le wireguard. Ensuite rajoute une règle de routage source pour le préfixe HE dans le tunnel HE.

StardustOne · « **Réponse #27 le:** 05 juin 2020 à 02:13:27 »

Oui, je veut utiliser mon serveur dedibox/wireguard comme relais.

J'ai retiré les commandes 'iptables' de la conf.

Pour le routage, j'avoue ne pas savoir quoi entrer.

Si t'a les commandes 'ip', je suis preneur

cali · « **Réponse #28 le:** 05 juin 2020 à 02:49:39 »

Citation de: StardustOne le 05 juin 2020 à 02:13:27

Oui, je veut utiliser mon serveur dedibox/wireguard comme relais.

Si d'un côté du tunnel tu assignes à l'interface comme adresse fd42:42:42::1/32 et de l'autre côté fd42:42:42::1/64, ça ne risque pas de fonctionner.

Pour le lien point-à-point commence par donner à l'un fd42:42:42::1/64 et l'autre fd42:42:42::2/64, et vérifie si les deux hôtes peuvent se pinger, ça sera déjà plus clair.

StardustOne · « **Réponse #29 le:** 05 juin 2020 à 02:56:15 »

Oui, pardon, j'avais vu la boulette entre temps.

Si je mets /64 sur le 'serveur', il le passe automatiquement en '/32' (D’où la boulette). Donc je passe tout en /32

Donc coté dedibox (relais Hurrican Electric):

Code: [Sélectionner]

[Interface]
Address = fd42:42:42::1/32
SaveConfig = true
ListenPort = 1094
PrivateKey xxxx

[Peer]
PublicKey = yyyy
AllowedIPs = fd42:42::/32

Coté desktop :

Code: [Sélectionner]

[Interface]
Address = fd42:42:42::2/32
ListenPort = 1094
PrivateKey = xxxxx=
DNS = 80.67.169.12

[Peer]
PublicKey = xxxx
Endpoint = 1.2.3.4:1094 # ipv4 du serveur dedibox
#Endpoint = [fd42:42:42::1]:1094
AllowedIPs = ::/0
PersistentKeepalive = 21

Mais le ping vers dedibox est HS:

Code: [Sélectionner]

# ping -c1 fd42:42:42::1
PING fd42:42:42::1(fd42:42:42::1) 56 data bytes

--- fd42:42:42::1 ping statistics ---
1 packets transmitted, 0 received, 100% packet loss, time 0ms

Code: [Sélectionner]

# ip a s wg0
80: wg0: <POINTOPOINT,NOARP,UP,LOWER_UP> mtu 1420 qdisc noqueue state UNKNOWN group default qlen 1000
    link/none 
    inet6 fd42:42:42::2/32 scope global 
       valid_lft forever preferred_lft forever

cali · « **Réponse #30 le:** 05 juin 2020 à 03:10:55 »

Citation de: StardustOne le 05 juin 2020 à 02:56:15

Si je mets /64 sur le 'serveur', il le passe automatiquement en '/32' (D’où la boulette). Donc je passe tout en /32

Ce n'est pas normal.

Que dit tcpdump ?

kgersen · « **Réponse #31 le:** 05 juin 2020 à 15:25:37 »

ce n'est plus tres clair ce que tu cherches à faire... pêut-etre repartir de zéro en expliquant le but.

si c'est juste pour avoir de l'IPv6 derriere ta box sfr, il suffit d’emmener un bloc /64 d'Online via un tunnel wireguard. plus besoin de HE.

Et wireguard est simple, pas besoin d'y rajouter de la complexité en mettant des adresses ULA sur les interface wg0 (personnellement je mets "fe80::x/64" comme adresse avec un X différent par site c'est simple et suffisant et facile a mémoriser. ).

une conf simple:

serveur dedibox (site 1):

Code: [Sélectionner]

[Interface]
Address = fe80::1/64
ListenPort = 51820
SaveConfig = true
PrivateKey = ...

[Peer]
#Description = home - site 2
PublicKey = ....
AllowedIPs = 2001:xxx:xxx:102::/64, fe80::/64
PersistentKeepalive = 25

client derrière la box (site 2):

Code: [Sélectionner]

[Interface]
Address = fe80::2/64
ListenPort = 51820
SaveConfig = true
PrivateKey = ...

[Peer]
#Description = dedibox - site 1
PublicKey = ....
Endpoint = ip4-public-du-dedibox:51820
AllowedIPs = ::/0, fe80:/64
PersistentKeepalive = 25

c'est tout. le bloc 2001:xxx:xxx:102:/64 peut être utilisé sur le LAN du site 2 (via annonce radvd par exemple ou statiquement).

pour tester le tunnel:
"ping fe80::1%wg0" d'un coté ou "ping fe80::2%wg0" de l'autre.

je n'ai pas testé mais on devrait meme pouvoir faire sans mettre d'IP sur les interfaces wg0. c'est juste moins pratique pour tester.

mirtouf · « **Réponse #32 le:** 05 juin 2020 à 20:15:36 »

Et quelle est la configuration pour radvd ainsi que les variables sysctl ?

StardustOne · « **Réponse #33 le:** 05 juin 2020 à 20:22:15 »

Citation de: kgersen le 05 juin 2020 à 15:25:37

ce n'est plus tres clair ce que tu cherches à faire... pêut-etre repartir de zéro en expliquant le but.

T'a raison, voici: https://lafibre.info/ipv6/desktop-debian10-comment-creer-une-stack-ipv6-virtuelle-sfr-ftth/new/#new

Citation de: mirtouf

Et quelle est la configuration pour radvd ainsi que les variables sysctl ?

Pas de conf 'radvd'. Pour 'sysctl' :

Code: [Sélectionner]

net.ipv6.conf.all.forwarding=1
net.ipv4.ip_forward=1
net.ipv6.ip_forward=1

StardustOne · « **Réponse #34 le:** 05 juin 2020 à 22:32:33 »

kgersen:

j'ai fait exactement ça.

Je peut effectivement ping mutuellement les 2 peers.

Par contre, comment réaliser l'announce du préfix HE ? Je ne sais pas faire.

(si ton IPv6 2001:* est bien HE. Si c'est dedibox, je ne souhaite pas l'utiliser car les adresses dedibox ipv6 sont blacklistées pour les navigateurs comme quelqu'un l'a deja expliqué précédemment dans le fil).

Pour plus de clarté sur le besoin fonctionnel, j'ai créé un nouveau fil: https://lafibre.info/ipv6/desktop-debian10-comment-creer-une-stack-ipv6-virtuelle-sfr-ftth/msg766268/#msg766268

kgersen · « **Réponse #35 le:** 06 juin 2020 à 01:48:05 »

j'ai répondu dans l'autre sujet. il te suffit de renvoyer dans le tunnel wg soit le routed /64 soit tout ou partie du router /48.

Citation de: mirtouf le 05 juin 2020 à 20:15:36

Et quelle est la configuration pour radvd ainsi que les variables sysctl ?

la conf standard, par exemple: https://wiki.archlinux.org/index.php/IPv6#For_gateways