OpenVPN配置下发IPv6地址
本文发布于 ，内容可能和实际情况存在出入。如果文章存在错误欢迎指正，我会根据情况对文章进行修改或做隐藏处理
这两天新买了一台VPS，发现上面给了一段v6地址，因此决定折腾一下，在VPN里配置IPv6
注意：由于OpenVPN在国内受到封锁，因此本文可能仅适用于海外人士
本文基于Debian 11
1、安装OpenVPN、iptables、ipset和ndppd
$ apt update
$ apt install openvpn iptables ipset ndppd=0.2.5-62、分割获得的IPv6地址段
这里假设主机商分给了你一段IPv6地址，且你的VPS的IP地址也在段内。如果VPS的IP不在分配的段内可以跳过
由于OpenVPN网卡(tun0)需要独占一个IPv6段，会和同样在段内的主网卡(eth0)冲突，因此需要分割成两个不重叠的IP段
例如从主机商处获得了一下/64段：
2001:XXXX:XXXX::/64VPS本身使用IP地址：
2001:XXXX:XXXX::1/64则可以将其分割成2个/65的IP段：
2001:XXXX:XXXX::/65
2001:XXXX:XXXX:8000::/65因为强迫症，见不得VPN的v6地址空间比v4大浪费一堆地址，因此给v6也分配8位的主机位：
2001:XXXX:XXXX:8000::/120（反正OpenVPN分配也是从1开始顺序分配，客户端没得选）
至于VPS本身当然就直接给一个IP了：
2001:XXXX:XXXX::1/1283、修改VPS自身IPv6掩码
这里偷个懒直接关了cloud-init的network配置下发，然后直接改配置文件了
这样会导致VPS的IP发生变更时无法自动下发到OS内，需要VNC进去手动更改IP
$ vim /etc/cloud/cloud.cfg.d/99-disable-network-config.cfg
network: {config: disabled}
$ vim /etc/network/interfaces.d/50-cloud-init
iface eth0 inet6 static
# address 2001:XXXX:XXXX::1/64
address 2001:XXXX:XXXX::1/128 # 掩码修改为128
gateway fe80::1
$ ip addr flush eth0 && systemctl restart networking4、配置OpenVPN
$ vim /etc/openvpn/server.conf
...
server-ipv6 2001:XXXX:XXXX:8000::/120
push "route-ipv6 2000::/3"
push "route-metric 2000"
push "dhcp-option DNS 2606:4700::1111"
push "dhcp-option DNS 2001:4860:4860::8888"
##证书、IPv4以及其他部分网上很多，这里就不贴了
...
$ systemctl enable openvpn@server
$ systemctl start openvpn@server5、配置sysctl
$ vim /etc/sysctl.conf
net.core.rmem_max = 2500000
net.core.default_qdisc = fq
net.ipv4.tcp_congestion_control = bbr
net.ipv4.ip_forward = 1
net.ipv6.conf.all.forwarding = 1
net.ipv6.conf.default.forwarding = 1
net.ipv4.tcp_fastopen = 3
net.ipv4.conf.all.proxy_arp = 1
net.ipv6.conf.all.proxy_ndp = 1
net.ipv6.conf.default.proxy_ndp = 1
net.ipv6.conf.eth0.proxy_ndp = 1
net.ipv6.conf.tun0.proxy_ndp = 1
##排查的时候加了一大堆，里面应该有很多没用的项，懒得找了
$ sysctl -p6、配置ndppd
按理说只要用ip neigh配置ndp proxy就可以用了，但是我这里配置完只好用了一两个小时就崩了
没办法，只能用ndppd回复一个假的response了
$ vim /etc/ndppd.conf
proxy eth0 {
router no
rule 2001:XXXX:XXXX:8000::/120 {
static
}
}
$ vim /lib/systemd/system/ndppd.service
[Unit]
Description=NDP Proxy Daemon
After=network.target
[Service]
User=root
ExecStart=/usr/sbin/ndppd -p /var/run/ndppd/ndppd.pid
Type=simple
PIDFile=/var/run/ndppd/ndppd.pid
[Install]
WantedBy=multi-user.target
$ systemctl daemon-reload
$ systemctl enable ndppd
$ systemctl start ndppd7、配置ip6tables
$ ip6tables -t nat -F
$ ip6tables -t nat -X
$ ip6tables -t mangle -F
$ ip6tables -t mangle -X
$ ip6tables -F
$ ip6tables -X
$ ip6tables -A INPUT -i lo -j ACCEPT
$ ip6tables -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
$ ip6tables -A OUTPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
$ ip6tables -A INPUT -p ipv6-icmp -j ACCEPT
$ ip6tables -A FORWARD -p ipv6-icmp -j ACCEPT
$ ip6tables -A OUTPUT -p ipv6-icmp -j ACCEPT
$ ip6tables -A FORWARD -i eth0 -o tun0 -m state --state RELATED,ESTABLISHED -j ACCEPT
$ ip6tables -A FORWARD -i eth0 -o tun0 -m state --state NEW -j DROP # 禁止从互联网访问OpenVPN客户机
$ ip6tables -A FORWARD -i tun0 -o eth0 -j ACCEPT
$ ip6tables -P FORWARD ACCEPT
$ ip6tables -P INPUT DROP
$ ip6tables -P OUTPUT ACCEPT
##需要开端口的话可以自行加个规则8、(可选)强制某些服务走IPv4
由于所在的网络环境到Microsoft 365有专线，走VPN是一件很浪费的事情
因此可以用ip6tables强制REJECT所有去往365的v6地址的请求，迫使OS回退到IPv4
$ ipset create m365 hash:net family inet6
$ ipset add m365 2603:1006::/40
$ ipset add m365 2603:1006:1400::/40
$ ipset add m365 2603:1006:2000::/48
$ ipset add m365 2603:1007:200::/48
$ ipset add m365 2603:1016::/36
$ ipset add m365 2603:1016:1400::/48
$ ipset add m365 2603:1016:2400::/40
$ ipset add m365 2603:1017::/48
$ ipset add m365 2603:1026::/36
$ ipset add m365 2603:1026:2400::/40
$ ipset add m365 2603:1026:3000::/48
$ ipset add m365 2603:1027::/47
$ ipset add m365 2603:1036::/36
$ ipset add m365 2603:1036:2400::/40
$ ipset add m365 2603:1036:3000::/48
$ ipset add m365 2603:1037::/47
$ ipset add m365 2603:1046::/36
$ ipset add m365 2603:1046:1400::/40
$ ipset add m365 2603:1046:2000::/48
$ ipset add m365 2603:1047::/47
$ ipset add m365 2603:1056::/36
$ ipset add m365 2603:1056:1400::/40
$ ipset add m365 2603:1056:2000::/48
$ ipset add m365 2603:1057::/48
$ ipset add m365 2603:1057:2::/48
$ ipset add m365 2603:1061:1300::/40
$ ipset add m365 2603:1063::/39
$ ipset add m365 2603:1063:2000::/38
$ ipset add m365 2620:1ec:4::152/127
$ ipset add m365 2620:1ec:4::192/128
$ ipset add m365 2620:1ec:6::/48
$ ipset add m365 2620:1ec:c::10/127
$ ipset add m365 2620:1ec:c::15/128
$ ipset add m365 2620:1ec:d::10/127
$ ipset add m365 2620:1ec:40::/42
$ ipset add m365 2620:1ec:8f0::/46
$ ipset add m365 2620:1ec:8f8::/46
$ ipset add m365 2620:1ec:8fc::6
$ ipset add m365 2620:1ec:900::/46
$ ipset add m365 2620:1ec:908::/46
$ ipset add m365 2620:1ec:a92::152/127
$ ipset add m365 2620:1ec:a92::171
$ ipset add m365 2620:1ec:a92::192
$ ipset add m365 2a01:111:200a:a::/64
$ ipset add m365 2a01:111:2035:8::/64
$ ipset add m365 2a01:111:f100:2000::a83e:3019/128
$ ipset add m365 2a01:111:f100:2002::8975:2d79/128
$ ipset add m365 2a01:111:f100:2002::8975:2da8/128
$ ipset add m365 2a01:111:f100:7000::6fdd:6cd5/128
$ ipset add m365 2a01:111:f100:a004::bfeb:88cf/128
$ ipset add m365 2a01:111:f400::/48
$ ipset add m365 2a01:111:f402::/47
$ ipset add m365 2a01:111:f406:1::/64
$ ipset add m365 2a01:111:f406:c00::/64
$ ipset add m365 2a01:111:f406:1004::/64
$ ipset add m365 2a01:111:f406:1805::/64
$ ipset add m365 2a01:111:f406:3404::/64
$ ipset add m365 2a01:111:f406:8000::/64
$ ipset add m365 2a01:111:f406:8801::/64
$ ipset add m365 2a01:111:f406:a003::/64
$ ip6tables -I FORWARD -i tun0 -o eth0 -m set --match-set m365 dst -j REJECT --reject-with icmp6-adm-prohibited最后在client配置文件内对M365的v4地址段做bypass即可
最后，客户端连接上就可以用了