Configureer de gerouteerde IPv6 /64

Wat “gerouteerd” hier betekent

Het prefix wordt naar jouw instance gerouteerd in plaats van gedeeld op een segment met andere klanten. Niets anders op het netwerk antwoordt op die adressen, er is geen neighbour discovery-proxy in het midden, en je mag van alles binnen de /64 binden zonder het eerst te vragen. Het betekent ook dat router advertisements niet het mechanisme zijn: adres en gateway zijn statisch, en wachten op SLAAC levert je helemaal niets op.

Het paneel toont drie waarden per instance — het prefix, het adres daarbinnen dat wij vooraf toewijzen, en de gateway. Neem alle drie van daar. De gateway verschilt per locatie.

Debian 13

De images gebruiken systemd-networkd. Schrijf je eigen unit en laat de meegeleverde met rust:

cat > /etc/systemd/network/20-wan-v6.network <<EOF
[Match]
Name=enp1s0

[Network]
Address=<ipv6>/64
Gateway=<gateway6>
IPv6AcceptRA=no
EOF
networkctl reload
networkctl status enp1s0

Waar de gateway een link-local adres is, moet de interface waarop deze zit bekend zijn. De stanza is al gescoped naar één interface door [Match], dus er is niets extra nodig.

AlmaLinux 10

Er zijn geen ifcfg--bestanden meer. AlmaLinux 10 houdt verbindingen bij als NetworkManager-keyfiles, en de ondersteunde manier om ze te bewerken is nmcli:

nmcli -f NAME,DEVICE connection show
nmcli connection modify "System eth0" ipv6.method manual ipv6.addresses <ipv6>/64 ipv6.gateway <gateway6> ipv6.may-fail no
nmcli connection up "System eth0"

ipv6.may-fail no stopt dat de boot verklaart dat het netwerk gereed is voordat v6 is geconfigureerd. Dat is van belang voor elke service die een v6-adres bindt bij de start en opgeeft als dat er nog niet is.

Controleer het

ip -6 addr show dev enp1s0
ip -6 route show
ping -6 -c 3 paragonvps.com

Adres aanwezig, standaardroute aanwezig, niets dat antwoordt? De firewall is de gebruikelijke verdachte, en ICMPv6 is de gebruikelijke reden. Neighbour discovery en packet-too-big zitten allebei in ICMPv6; ze selectief filteren breekt IPv6 op een manier die er precies uitziet als een applicatiefout voor anderhalve dag. Kleine pakketten werken, grote verdwijnen. Het nftables-artikel heeft een regel die dit niet doet.

De rest van het prefix gebruiken

Extra adressen op dezelfde interface:

ip -6 addr add <ipv6-2>/64 dev enp1s0 nodad

Laat het een reboot overleven met een andere Address=-regel, of een tweede vermelding in ipv6.addresses. Voor containers, snijd een stuk uit de /64, wijs het toe aan de bridge en routeer het op de host. Een /80 is meer dan een bridge ooit nodig zal hebben. Er is geen NAT-stap en geen proxy-stap, omdat het hele prefix al naar jou wijst.

Als je meerdere gerouteerde subnetten nodig hebt, achter meerdere bridges of een geneste hypervisor, bestel dan de /48-add-on. Het wordt gedelegeerd in plaats van geproxied, dus het routeerontwerp aan jouw kant is echt van jou.

Twee dingen die het stilletjes breken

• Iets dat RA-acceptatie weer aanzet. Tools die “netwerk repareren” doen dat vaak, en je eindigt met een tweede standaardroute die flappert tussen de twee. Zet IPv6AcceptRA=no vast.
• Forwarding inschakelen. Het instellen van net.ipv6.conf.all.forwarding=1 zorgt dat de kernel stopt met het verwerken van router advertisements op elke interface. Hier onschadelijk, omdat RA al uit is, maar goed om te weten voordat je de locatie de schuld geeft.

Volledige per-locatie details, inclusief welke locaties v6 tot aan de rand dragen, staan op de netwerkpagina.