eo光でIPv6(その2)

eoサポートに、64bit以外のPrefixが使えるかどうかと、固定IPなのかどうかをダメ元で問い合わせていたのに回答があった。

予想通り、64bit固定で変更不可&設備側都合で変更される可能性あり(いわゆる半固定IP)とのこと。

月数千円程度の家庭用プランでDMZなどの複数セグメントを用意して、しかも超絶巨大規模なサーバーを公開するという我が家の使い方を想定なんかしているわけないので、仕方が無い。

ぶっちゃけNATではなく全部がグローバルIPなのでDMZと内部LANを分離するメリットがあんまりないし、CloudFlare経由になっているので外部からのアクセスも格段に防ぎやすくなったので、DMZ辞めちゃってもいいかなぁとも思ってる。

eo光でipv6(RouterOS)

今年の8月からeo光のIPv6サービスがトンネル方式からデュアルスタック方式に変わっていて、DHCPv6経由でPPPoEインターフェースからIPv6のアドレスが割り振られるようになっていた。

これで、IPv6のPrefixが降ってくるので、LAN側にIPアドレスを割り当ててRAを有効化したらとりあえずIPアドレスは各PCに降ってくるようになる。

で、DNSをRA経由で割り振るにはNDを使う。

Firewallルールがこの時点ではまだ一切されておらず、IPv6だと外部からアクセスし放題になるので、このまま使うのは非常にまずいので、PPPoEからのIPv6接続はとりあえず、全拒否しておく

DNSがISPのやつでも良いけど、今回はQuad9を採用。

それはそうと、降ってくるPrefixが64bitなので、複数ネットワークがある我が家では非常に使い辛い。RA Proxyを別途用意するか、単一ネットワークに再設計するか、本来のIPv6では推奨されていない96bit以上に更にサブネットを分割するか。ぶっちゃけDMZは外部からのアクセスはほぼ全部CloudFlare経由なので単一サブネットにしちゃっても実害はないかもしれない。せっかくVLANTrunkを設計したのにもったいないというのはあるけど。

自宅PCのOSを更新

最新なのは良いけど最新すぎて地雷踏む可能性が高すぎる&netctl配下のOpenVSwitchの安定性に問題がありすぎたので、待機系の物理鯖をdebian/busterに変更。

ついでに、兼ねてからの懸案だったOpenVSwitchのVLANトランクを有効化して、全サブネットが10G共有になったのでネットワークの効率が大幅改善。

今のところド安定。最新突っ走りまくりだったArchLinuxはあれはあれで勉強になったけど。

11/5にDDoS食らいました

11/5の16:00頃に、リモート接続がやけに不安定になったなと思って、ルーターをリブートしたら、全く繋がらなくなる。

帰宅後に調べてみたらPPPoEのI/Fが全くパケットやりとりをしなくなっていたので、繋ぎ直し。

しばらく動いていたと思ったらPPPoEのRxが急に600Mbpsぐらいまで跳ね上がり、FireWallのコネクション数も30000とかになってまた回線不安定に。

あれ?これDDoS?と思って、回線リセットしてIPアドレス変えてもDDNSの更新が反映される頃にまた同じ挙動。

そうこうしている間にONUのI/FがLinkUpしなくなったのでISPに電話。VoIP用のポートは生きていたので切り替えたところやっぱりダメ。VoIP側もLinkUpしなくなる。

11/6 19:00頃にISPから電話があり、異常なトラフィックを検知したから回線切ったとのこと、屋内配線とか色々聞かれて回復。

11/6 21:00頃にやっぱりDDoSがあったので、DDNSの更新を切って対策検討開始。CloudFlare無料プラン加入&ドメイン切り替え作業開始。

11/6 22:30頃にどどんとふが回復したので、復旧連絡。

その後、CloudFlare経由だとうまく動かない機能(直リンクよけのリファラーチェック、オンセンのキャラクターシート取得、ねこ卓のWebSocketなど)の対処をしつつ、他ドメインを順次CloudFlareに切り替え、CloudFlareが使えそうにないものはさくらのVPSにHAProxyを建ててSSLパススルーで自宅鯖を徹底的に隠蔽。

色々勉強にもなったけど、めっちゃ疲れた。DDoSダメ絶対。

UBNTその後

DFS受信したわけでもないのに5GHz通信がやたらとブチブチ切れる問題は、ファームウェアをBeta版の「4.0.4.9528」に更新したらド安定した。
やりかたは自動Firmware更新を無効化して、UBNTのCommunity(要ユーザー登録)にあるBeta版ファームウェアのURLをUnifiACに入力するだけ。10~15分ぐらいで更新できた。
相変わらず国設定を日本にしたままだと5GhzがVHT20(20Mhz)しか選択できないので175Mbps上限になってしまうという致命的問題はまだ改善されていませんが、これは日本と同じ電波範囲の国(EUのどっかかシンガポールあたり)を選択すればVHT160が使えるようになるみたいだけど、電波法違反になるかもしれないから設定しちゃ駄目。