IPv6 环境下一机多 IP 玩法的讨论

IPv6 的地址空间很大，在 SLAAC 的配置下很难被外部主动扫到。但是通过自己的主动访问暴露，例如浏览恶意网站、运行 p2p 应用等，还是可能的。这种暴露的风险相比公网 IPv4 要小不少、而且设备自身的安全建设也更加根本，但如何采取其他措施加以预防也值得讨论。IPv4 时代的传统解决方案是防火墙，可是目前 IPv6 路由器的防火墙功能普遍残缺，即使有也需要固定机器的后缀。同时 PCP 等自动化机制也缺少应用，日常配置起来还是颇为麻烦。

楼主认为，IPv6 时代应该适应每台机器都是公网的零信任环境，不应该过度依赖网关和内网来保证安全。对于之前提到的暴露风险，如果转换思路，可以想到利用 IPv6 超大的地址空间，给 bt 、ipfs 这类应用分配独立的地址，从而仅把安全的、与敏感数据隔离的服务主动暴露给外部。搜了一下，IPv6 环境下一机多 IP 成熟的经验还比较少。虽然也存在一些麻烦，但个人感觉自动化的潜力比较很大。在此，楼主想分享在不同场景下非常初步的经验，希望可以起到抛砖引玉的作用：

一、服务器场景

提供 IPv6 的商家，有的是给一个子网随便玩，有的是需要论个申请但可以申请一堆，仅有少数是只能用一个的（如 Lightsail ）。
由于服务端 IP 比较固定，通常比较好配置，同时可以沿用一些多公网 IPv4 的经验。
基本的玩法就是监听时不再写[::]:80 ，而是绑定[IPv6]:80 ，这样多个服务就可以分别通过独立的 IPv6 地址访问、解析。特别是当端口打架的时候，就不再需要基于 Host 或者 SNI 的反代来分流了。即使一个源站 IP 暴露了，相对不容易牵连其他服务，也便于换一个新的。

二、家用 PC 场景

在 Windows 下如何让一个应用的所有入站和出站都走指定的 IP 地址，除了虚拟机暂时没有想到很好的方法。
楼主在家宽环境下用 VMware 实测，当网络配置为桥接模式（不复制物理主机状态），虚拟机中的 Windows 和 Ubuntu 都可以获得独立于主机的 SLAAC IPv6 地址，且都可以被公网访问。traceroute 不会经过宿主的 IPv6 地址。其他虚拟化软件还未测试。

三、家用 NAS 场景

在 NAS 配置服务常用的是 Docker 。虽然 Docker 支持 IPv6 ，但相关的功能感觉还比较简单，很多时候需要固定的 CIDR 。楼主见过的 Docker+IPv6 玩法，一种是配 IPv6 私有地址然后做转发，还有一种是主机模式直接用宿主的地址。如果只是为了能用公网，后者相对简单。但想用独立的公网 IPv6 地址，就需要其他的方法。其中，bridge 模式虽然可行（需手动处理 NAP ），但会增加主机网关的一跳，从而暴露宿主的 IP 地址。所以这里以 IPvlan 模式为例，提供一个原理验证流程：

1.建立网桥

假设网卡为 eth0

docker network create -d ipvlan \
--ipv6  --subnet=$ip/80 \
-o parent=eth0 v6ipvlan1

其中$ip可以从公网 IP 裁切（ curl -6 ip.sb ），也可以直接指定私网 IP （ fd00::）。无论那种，容器都可以额外从配置 SLAAC 的网关获得的公网 IPv6 地址。

2.运行一个能响应 Web 的 Docker

docker run --name socat --rm --net=v6ipvlan1\
    alpine/socat -v -d -d \
    TCP6-LISTEN:12080,crlf,reuseaddr,fork \
    SYSTEM:"
    echo HTTP/1.1 200 OK; 
    echo Content-Type\: text/plain; 
    echo; 
    echo \"Server: \$SOCAT_SOCKADDR:\$SOCAT_SOCKPORT\";
    echo \"Client: \$SOCAT_PEERADDR:\$SOCAT_PEERPORT\";
    "

3.进到容器里看看

docker exec -it socat sh

查询本容器的公网 IPv6 （设为 2400:11:22:33:aa:bb:cc:dd ）

ip addr

有时需要有主动的 IPv6 出站才能打通，例如：

ping6 240c::6666

至此，只要没有其他防火墙拦着，[2400:11:22:33:aa:bb:cc:dd]:12080 应该就可以从外部访问了。
由于地址独立于宿主生成，且 traceroute 不会经过宿主的一跳，或可以避免宿主和其他容器公网 IPv6 的暴露。

需要重申的是，以上仅是粗糙的原理验证，希望可以启发更多关于多 IP 玩法的讨论。

其他问题

动态 IP 下指定后缀
很多时候后缀直接用 SLAAC 的就完事了（ bt 、ipfs ），也可以在 Docker 内跑个 DDNS （ crontab+sh 脚本）。
但如果确需要指定，因为 Shell 处理 IPv6 地址比较麻烦，且网桥可能还得重新建立，所以暂时还未有自动化方案。
公网 v6 的非预期暴露
从之前的 docker 命令可以看出，配置公网 IPv6 后，docker 内部对[::]的监听即是对公网的监听，不需要 -p 来映射。
但容器的制作和使用者仍可能延续 NAT 时代的惯性，默认内网安全，从而导致端口意外暴露在公网。

malash

2022-09-06 17:06:49 +08:00

理论上可行，实际操作起来很麻烦。

家庭 PPPOE 每次拨号后前缀都会变化，SLAAC 本身也有（ 24 小时？）的超时时间。你的所有服务都要不停的检测 IPv6 地址变化然后重新监听。这样做成本是很高的，举个例子，你买了一个小米网关开放了一个有漏洞的接口，你要如何刷固件让它监听指定的 IP ？如果买了更多设备呢，每一个设备都要有监听方案

还有一个例子，就是小米网关的监听服务是有漏洞的，并且这个漏洞是一个“有益”的功能，可以用于破解后连接 Home Assistant （见 https://github.com/AlexxIT/XiaomiGateway3 ）。我用这个例子是想说明内网许多服务是需要以“不安全”的形式进行运行的，内网安全不太可能和外网安全等同。你的方案对于 VPS 等场景会更加适合，对于内网就不那么合适了。

其实我们不妨做一个思想上的转变，广域网 /局域网地址不等同于公网 /内网。IPv6 下确实每一个设备都有一个唯一的地址，但并不是所有的地址都是“公网”地址。公网和内网的区别其实只是“本地网络”和“本地之外的网络”，假如你在网关 /路由器的防火墙禁用了 IPv6 的开放端口，内网设备即使分配到了 IPv6 地址，依然也只有内网的服务能力，对吧？

如果不太好理解可以想象这样一个例子，在 IPv4 下路由器路由器使用 1.1.1.1 ，我的电脑使用 1.1.1.2 ，笔记本用 1.1.1.3 ，可以吗？技术上当然可以。虽然它们都是公网 IP ，但我只在内网使用并且不会对外（公网）广播，公网也 ping 不到我的这些设备，那么其实它们就是些内网服务而已。就像一些厂商局域网 IP 都用光了，连美国国防部的 IP 都拿来用了 https://www.v2ex.com/t/365031 ，是一样的道理

因此通过使用网关防火墙，人为划分了公网和内网的界限，并没有太大的问题，并且会比为每一个设备配置防火墙要更简单、可行和安全