Question

作为Google支持native IPv6 on Google Compute Engine之前的一个权宜之计，我想配置6in4 (IP protocol 41) tunnel。

我添加了防火墙规则以允许我的VM网络上的协议41：

Name        Source tag / IP range  Allowed protocols / ports  Target tags
allow-6in4  216.66.xxx.xxx         41                         Apply to all targets

并在/etc/network/interfaces中配置了隧道：

auto 6in4
iface 6in4 inet6 v4tunnel
  address 2001:470:xxxx:xxxx::2
  netmask 64
  endpoint 216.66.xxx.xxx
  gateway 2001:470:xxxx:xxxx::1
  ttl 64
  up ip link set mtu 1280 dev $IFACE

ping6 2001:470:xxxx:xxxx::1并确认6in4流量已出站：

$ sudo tcpdump -pni eth0 host 216.66.xxx.xxx
tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
listening on eth0, link-type EN10MB (Ethernet), capture size 65535 bytes
22:52:03.732841 IP 10.240.xxx.xxx > 216.66.xxx.xxx: IP6 2001:470:xxxx:xxxx::2 > 2001:470:xxxx:xxxx::1: ICMP6, echo request, seq 1, length 64
22:52:04.740726 IP 10.240.xxx.xxx > 216.66.xxx.xxx: IP6 2001:470:xxxx:xxxx::2 > 2001:470:xxxx:xxxx::1: ICMP6, echo request, seq 2, length 64
22:52:05.748690 IP 10.240.xxx.xxx > 216.66.xxx.xxx: IP6 2001:470:xxxx:xxxx::2 > 2001:470:xxxx:xxxx::1: ICMP6, echo request, seq 3, length 64

我暂时将端点更改为可以运行tcpdump的地址，并确认数据包未到达目的地。我甚至尝试过NAT，以防GCE没有为6in4数据包执行此操作，但没有运气（iptables -t nat -A POSTROUTING -p ipv6 -j SNAT --to-source 130.211.xxx.xxx）。

有没有人有6in4隧道在GCE VM上工作？我错过了一些神奇的设置吗？

Answer 1

TL; DR：你不能

每Networking and Firewalls：

除非通过协议转发明确允许，否则将阻止使用TCP，UDP和ICMP以外的协议的流量。

每Protocol Forwarding：

Google Compute Engine支持以下协议转发   协议：

AH：指定IP身份验证标头协议。

ESP：指定IP封装安全有效负载协议。

SCTP：指定流控制传输协议。

TCP：指定传输控制协议。

UDP：指定用户数据报协议。

因此，协议转发规则需要适用于以下IP protocol numbers之一：

51（AH）
50（ESP）
132（SCTP）
6（TCP）
17（UDP）

Protocol Forwarding页面明确表示不支持其他协议编号，例如41 (6in4)：

注意：这是支持的协议的详尽列表。协议转发仅支持此处显示的协议。

如何通过GCE防火墙允许protocol-41（6in4）？

1 个答案: