OpenVPN IPv6 奇怪的路由问题

[zhouheyang0919]

目前有一台美国 VPS (A) ，分配了原生 /56 IPv6 Pool, 通过 OpenVPN 将三个 /64 Pool 路由到了国内服务器 (B) 上，这台国内服务器 (B) 再作为 OpenVPN 服务端将其中两个 /64 Pool 路由到另外两台国内服务器 (C,D) 上。

三台国内服务器访问 IPv6 网络和从外部访问通过 OpenVPN 分配的 IPv6 Pool 内的地址都没有问题，但是 C 访问 D / D 访问 C 时有一个奇怪的问题，理论上说应该是直接通过 B 中转的，然而数据包却 C -> B -> A -> B -> D 这样从 A 服务器绕了一圈。

从 C Ping D 并抓包，发现 C 和 D 都有 ICMP Request 和 ICMP Reply 包，但是 B 服务器上只能看到 D 发来的 Reply 包（单向）， ip6tables 记录如下：

Chain FORWARD (policy ACCEPT 4519 packets, 3502K bytes) pkts bytes target prot opt in out source destination
0 0 LOG all * * 2xxx:xxxx:xxxx:xxf1::/64 2xxx:xxxx:xxxx:xxf3::/64 LOG flags 0 level 4 16 1664 LOG all * * 2xxx:xxxx:xxxx:xxf3::/64 2xxx:xxxx:xxxx:xxf1::/64 LOG flags 0 level 4

已经确认 C 和 D 都只和 B 建立了 OpenVPN 连接,且只有这一条 IPv6 链路。

B 直接访问 C / D 时是正常的， OpenVPN 配置文件里也配置了相应的路由 (route-ipv6 + iroute-ipv6)

求解。

[fcicq]

"理论上说应该是直接通过 B 中转的" ---这个假设好像有问题的感觉. 优先级?

[alect]

CD 互相不认识，当然要原路回去，最终还是 A 的是原生……

[starqoq]

我记得 openvpn 的设置里有一项是控制 client to client 的 你在文档里一搜就能找到。

你可以试试这个选项。

[starqoq]

在手册里有一项。
--client-to-client
Because the OpenVPN server mode handles multiple clients through a single tun or tap interface, it is effectively a router. The --client-to-client flag tells OpenVPN to internally route client-to-client traffic rather than pushing all client-originating traffic to the TUN/TAP interface.
When this option is used, each client will "see" the other clients which are currently connected. Otherwise, each client will only see the server. Don't use this option if you want to firewall tunnel traffic using custom, per-client rules.

手册地址（有可能需要翻墙）：
https://community.openvpn.net/openvpn/wiki/Openvpn23ManPage

你可以尝试在 B 机上开启这个选项。即在配置文件里加上一行： client-to-client 即可。

[zhouheyang0919]

@starqoq client-to-client 已经全部开启了

[redsonic]

这样的拓扑如果什么都没做 ipv4 应该也是绕的。你需要 ospf ， ipv6 的话你需要 ospfv3 来宣告你的路由。或者简单一点在 B 上面配两条 CD/DC 双向静态路由。