はじめに
Raspberry Pi 3 は WiFi と LAN が標準搭載なので、WiFi で試験ネットワークを作るのにはうってつけです。
さて、iOS向けのアプリ審査ではIPv6対応が必須となりましたが、その試験ネットワークを作るための標準的な方法は「MacOSXでNAT64が有効なインターネット共有を作る」という方法です。
しかし Mac1台をNAT64のためにあてがうのはどうにも非効率な気がしますし、そもそも今時の Macbook などは有線LANインタフェースを持っていないので、このためにUSB or Thunderbold LANアダプタを用意せねばなりません。あるいは、PC or Mac を IPv6 側にぶら下げて挙動を比較する、などというケースもあるかもしれません。
そうやっていろいろ考えていくと、IPv6 試験ネットワークを作るのは Raspberry Pi3 を使うのが最も効率的な気がしてきました。
さて、こういうネタには必ず先人がいるはずなのですが、調べてみると、やはりこういうのが出てきます。
dsas.blog.klab.org
alpha.mixi.co.jp
しかし Raspberry Pi3 でこれを行っている事例は見当たらないようです。不思議に思って自分で試してみると、上記の方法をそのまま Raspberry Pi3 で行っても環境構築できないことがわかりました。その一つの要因は RasPi3 で動くバージョンの Raspbian のバージョンが上記記事よりも進んでいることにあります。
そこで試行錯誤を繰り返してみて、最終的に Raspberry Pi3 でNAT64/DNS64 な環境を作るための手順が見えてきましたので、ここにメモとしてまとめておきます。
なお、以下の手順の中で案内する設定ファイルの内容は、大筋において Klab様や mixi 様の事例の内容を踏襲させていただきましたが、以下に該当する箇所を変更しています。
- そのままでは RasPi3 では動かない内容
- 設定を記述する箇所を変更したほうが、Linux の設定として適切と考えられる箇所
そもそも Raspberry Pi 3 で DNS64/NAT64 を実装するための選択肢にはどのようなものがあるか？
ざっと調べると、今回の方法を含めて2つの方法があるようです。
Linux kernel のカーネルモジュールでやる方法
先に挙げた事例や今回の事例では Jool というカーネルモジュールで NAT64 を行っています。他にも幾つかのカーネルモジュールがあるっぽいです。
OpenWRT でやる方法
OpenWRT に TAYGA + TOTD で NAT64/DNS64 を行う方法があるようです。
tech.sybreon.com
そして、TAYGA は stageful な NAT64だそうです。ステートフルな NAT64 は ISP 側の設備との組み合わせが必要と私は認識しております。今回の要件には合わないように思うので、これはパス。本当は OpenWRT で環境構築できるほうがいろいろとありがたいのですけどねー。
なお、OpenWRTというと、市販のルータのファームウェアをごにょごにょする方法がよく知られていますけれど、実はRasPi向けのパッケージングもあります。
wiki.openwrt.org
RasPiなどのシングルボードコンピュータにOpenWRTをインストールするのは、日本国内で技適のことを考えずにOpenWRTでWiFiをを利用できるので、最も妥当な選択肢の一つと言えます。（これでRasPiがUSB3 or GbEに対応していたらなぁー）
準備するもの
Raspberry Pi を以前から使っている方にとっては既知の話ですが、初めて使う方向けに必要な物品をリストアップしておきます。
最低限必要なもの
- Raspberry Pi 3本体 + ケース
- microSDHCカード (Class10、容量 4GB 以上)
- USB 電源アダプタ
とりあえず RasPi だけは Amazon へのリンクを貼っておきます。
Raspberry Pi3 Model B ボード＆ケースセット (Element14版, Clear)-Physical Computing Lab
- 出版社/メーカー: TechShare
- メディア: エレクトロニクス
- この商品を含むブログ (2件) を見る
初期設定時だけ必要なもの
- HDMI接続が可能なディスプレイ
- USB接続キーボード
- microSDHC の reader / writer
作業の流れ
- microSDHC に OS (Raspbian jessie) をインストールする。
- Raspbian jessie の初期設定を行う。
- 環境構築に必要なパッケージをまとめてインストールしておく。
- NAT64 に必要なカーネルモジュールをコンパイルする環境を作るために kernel のリビルドを行う
- WiFi で NAT64/DNS64 を実装するために必要なパッケージをインストールする。
ここに挙げた手順の中で、kernel のリビルドが最も時間がかかる作業です。先に挙げた事例ではコンパイル済みのカーネルヘッダを入手する、なんて話もありますが、現時点で入手可能な Raspbian jessie の最新版に正しく対応したカーネルヘッダはアップロードされていませんでした。インストールを試みると gcc のバージョンが違う、などのエラーがでてしまいます。
したがって自前でカーネルのリビルドを行うことは必須です。Raspberry pi 単体だと随分な時間がかかりますから、それなりに覚悟しておいたほうがよいです。クロスコンパイル環境を用意するか、またはカーネルのリビルドはHDDを接続して行うのがよさげです。
microSDHC に OS (Raspbian jessie) をインストールする。
「Raspbian jessie lite」を以下のページからダウンロードします。
https://www.raspberrypi.org/downloads/raspbian/
ここからは jessie と jessie lite の2つがダウンロード可能ですが、違いは GUI の有無です。今回の作業では GUI は不要ですから jessie lite で環境構築します。
ダウンロードした zip ファイルを展開して得られる img を dd で microSDHC に書き込めばインストールは完了です。
Mac な方は以下の過去記事に書いたスクリプトを使うとmicroSDHCへの書き込みがとてもラクになります。
pslabo.hatenablog.com
Windows な方は下記のページから確認したり、あるいは Windows 版の dd を入手してご利用くださいまし。
https://www.raspberrypi.org/documentation/installation/installing-images/README.md
microSDHC の準備ができたら Raspberry Pi に装着して起動します。ただし Raspberry Pi には電源スイッチはありませんので、microUSB ケーブルを差すだけで起動します。HDMI ケーブルや USB キーボードは先に接続しておいたほうがよいでしょう。
起動したら、お約束どおり、ID=pi, password=raspberry でログインします。
環境構築に必要なパッケージをまとめてインストールしておく。
LANケーブルを RasPi に接続していれば、Raspbian が起動した時点で RasPi はインターネット側と通信可能なはずです。この時点で必要なパッケージのインストールはすませておきましょう。
まずは sources.list に設定を1行追記します。これは unbound を jessie-backports からインストールするための設定追加です。
$ sudo vim /etc/apt/sources.list deb http://ftp.jp.debian.org/debian/ jessie-backports main
そして以下のように実行すれば、環境構築に必要なソフトウェア一式がリポジトリからインストールされます。
sudo apt-get install hostapd radvd isc-dhcp-server bc pkg-config libnl-3-dev iftop sudo apt-get -t jessie-backports install unbound
上記以外で必要となるのは下記2点です。
カーネルソースは GitHub から以下のように git clone しておきます。
git clone --depth=1 https://github.com/raspberrypi/linux
Jool はここらへんから最新版を落としておきましょう。
https://nicmx.github.io/Jool/en/download.html
なお、最も時間を要するのは kernel のビルドです。これから先の手順については kernel のリビルドを行いつつ、並行で作業するほうがよいでしょう。
kernel をリビルドする。
カーネルのリビルドというと若干引いてしまう方もいるかもしれませんが、Linux kernel 2.0 の時代から今に至るまで基本的な手順は変わっていません。本質的には make menuconfig して make zImage modules して make modules_install するだけです。
こういう基本を押さえた上で、実際の RasPi 向けのビルドは以下の手順で行います。
cd linux KERNEL=kernel7 make bcm2709_defconfig make -j4 zImage modules dtbs sudo make modules_install sudo cp arch/arm/boot/dts/*.dtb /boot/ sudo cp arch/arm/boot/dts/overlays/*.dtb* /boot/overlays/ sudo cp arch/arm/boot/dts/overlays/README /boot/overlays/ sudo scripts/mkknlimg arch/arm/boot/zImage /boot/$KERNEL.img
この手順は以下のページに出ている手順です。
Kernel Building - Raspberry Pi Documentation
なお、一連の作業が完了したらOSを再起動する必要があります。ただし再起動が必要なのは Jool をコンパイルするときです。そこまでは再起動せずに作業を進めることができます。
NICを設定する。
今回の作業では、NICを以下のように設定します。
これにより、LAN側はDHCPが有効なネットワークならば、どこに持ち込んでも利用できます。
さて、Debian や Ubuntu では /etc/network/interfaces にて設定を行うのが基本なのですが、jessie では /etc/dhcpcd.conf に対しても設定を記述するほうが確実に動作するようです。今回の環境構築で最もハマった点はこれです。
まず、/etc/network/interfaces には以下のように設定します。
iface eth0 inet manual
offload-tso off
offload-ufo off
offload-gso off
offload-gro off
offload-lro off
allow-hotplug wlan0
iface wlan0 inet6 static
address 2001:2:0:aab1::1
netmask 64
offload-tso off
offload-ufo off
offload-gso off
offload-gro off
offload-lro off
/etc/dhcpcd.conf では、RasPiのNICへのDHCP割り当てを制限するために下記のように設定します。これにより、eth0 の IP アドレスは IPv4 だけが動的に割り当てられます。wlan0 は IPv4/IPv4 ともに動的割り当ては行われません。
interface eth0
noipv6
interface wlan0
noipv4
noipv6
つぎにIPパケットの転送に関するカーネルパラメータの設定を行います。カーネルパラメータは /etc/sysctl.conf で設定します。
今回はIPv4とIPv6の転送をすべて有効にします。さらに念のために eth0 の IPv6 は完全に殺しておきます。
net.ipv6.conf.eth0.disable_ipv6=1 net.ipv4.conf.all.forwarding=1 net.ipv6.conf.all.forwarding=1
なお、上記のパケットの転送設定が行われていな状態では、のちに設定する radvd が正常に起動せずにハマります。
WiFi AP の設定を行う。
RasPiのwlan0をWiFi APとするための設定は以下2つのファイルで行います。
まず、/etc/default/hostapd は以下のように設定します。
# Defaults for hostapd initscript # # See /usr/share/doc/hostapd/README.Debian for information about alternative # methods of managing hostapd. # # Uncomment and set DAEMON_CONF to the absolute path of a hostapd configuration # file and hostapd will be started during system boot. An example configuration # file can be found at /usr/share/doc/hostapd/examples/hostapd.conf.gz # DAEMON_CONF="/etc/hostapd/hostapd.conf" # Additional daemon options to be appended to hostapd command:- # -d show more debug messages (-dd for even more) # -K include key data in debug messages # -t include timestamps in some debug messages # # Note that -B (daemon mode) and -P (pidfile) options are automatically # configured by the init.d script and must not be added to DAEMON_OPTS. # #DAEMON_OPTS=""
そして /etc/hostapd/hostapd.conf では以下のように設定します。このときに channel, ssid, wpa_passphrase は必ず変更してください。
# This is the name of the WiFi interface we configured above interface=wlan0 # Use the nl80211 driver with the brcmfmac driver driver=nl80211 # This is the name of the network ssid=NAT64DNS64 # Use the 2.4GHz band hw_mode=g # Use channel 6 channel=6 ## Enable 802.11n #ieee80211n=1 ## Enable WMM #wmm_enabled=1 # Enable 40MHz channels with 20ns guard interval ht_capab=[HT40][SHORT-GI-20][DSSS_CCK-40] # Accept all MAC addresses macaddr_acl=0 # Use WPA authentication auth_algs=1 # Require clients to know the network name ignore_broadcast_ssid=0 # Use WPA2 wpa=2 # Use a pre-shared key wpa_key_mgmt=WPA-PSK # The network passphrase wpa_passphrase=[WPA-PSKのパスフレーズ] # Use AES, instead of TKIP rsn_pairwise=CCMP
DHCPv6関連の設定を行う。
IPv6 向けの DHCP は RA (Router Advertisement) と isc-dhcp-server の組み合わせで実現します。基本的には RA だけで良いのですが、これだと DNS サーバの情報が配布できないので、isc-dhcp-server と組み合わせます。
/etc/radvd.conf
interface wlan0 { AdvSendAdvert on; MinRtrAdvInterval 3; MaxRtrAdvInterval 10; AdvOtherConfigFlag on; prefix 2001:2:0:aab1::/64 { AdvOnLink on; AdvAutonomous on; AdvRouterAddr on; }; };
/etc/default/isc-dhcp-server
# Defaults for isc-dhcp-server initscript # sourced by /etc/init.d/isc-dhcp-server # installed at /etc/default/isc-dhcp-server by the maintainer scripts # # This is a POSIX shell fragment # # Path to dhcpd's config file (default: /etc/dhcp/dhcpd.conf). DHCPD_CONF=/etc/dhcp/dhcpd6.conf # Path to dhcpd's PID file (default: /var/run/dhcpd.pid). DHCPD_PID=/var/run/dhcpd6.pid # Additional options to start dhcpd with. # Don't use options -cf or -pf here; use DHCPD_CONF/ DHCPD_PID instead OPTIONS="-6" # On what interfaces should the DHCP server (dhcpd) serve DHCP requests? # Separate multiple interfaces with spaces, e.g. "eth0 eth1". INTERFACES="wlan0"
/etc/dhcp/dhcpd6.conf
default-lease-time 600; max-lease-time 7200; #log-facility local7; subnet6 2001:2:0:aab1::/64 { option dhcp6.name-servers 2001:2:0:aab1::1; }
これらの設定ファイルの設定調整が終わったら、dhcp6.leases の空ファイルを作っておきます。これを行わないと isc-dhcp-server が起動しません。
sudo touch /var/lib/dhcp/dhcpd6.leases
DNS64 の設定を行う。
今回の試験ネットワークでは、すべてのホスト名に対する AAAA の問い合わせに対して NAT64 のIPアドレスを渡す必要があります。bind で試してみると IPv6 に対して NAT64 の AAAA を渡すことができなかったので、先例に倣って unbound で設定します。
/etc/unbound/unbound.conf
# Unbound configuration file for Debian. # # See the unbound.conf(5) man page. # # See /usr/share/doc/unbound/examples/unbound.conf for a commented # reference config file. # # The following line includes additional configuration files from the # /etc/unbound/unbound.conf.d directory. #include: "/etc/unbound/unbound.conf.d/*.conf" server: verbosity: 1 pidfile: "/var/run/unbound.pid" module-config: "dns64 iterator" dns64-prefix: 64:ff9b::/96 dns64-synthall: yes interface: ::0 access-control: ::0/0 allow forward-zone: name: "." forward-addr: 8.8.8.8
再起動して WiFi AP への接続と DHCPv6 の動作を確認する。
ここまでの作業が完了したらRasPi3を再起動して、RasPi3が提供するWiFi APへの接続およびDHCPv6の動作を確認します。
確認事項は下記4点です。
- WiFi APに接続できること。
これはつながるかどうかだけ確認すればOKです。
- RA + DHCPv6 で IPv6 アドレスが割り振られること。
これはWindows/Mac/Linuxを接続して、それぞれの環境の標準的な方法で確認してください。
- IPv4なホストに対してDNS64での名前解決が正しく行えること。
たとえばこういうやつですね。普通に AAAA を問い合わせても応答がないホスト名に対して、unbound が AAAA を返すことを確かめます。一般的には dig でテストするのでしょうけど、今回のインストール構成では dig を含んでいません。代わりに host コマンドで試します。
pi@raspberrypi:/etc/unbound $ host -t AAAA www.yahoo.co.jp 8.8.8.8 Using domain server: Name: 8.8.8.8 Address: 8.8.8.8#53 Aliases: www.yahoo.co.jp is an alias for www.g.yahoo.co.jp. pi@raspberrypi:/etc/unbound $ host -t AAAA www.yahoo.co.jp localhost Using domain server: Name: localhost Address: ::1#53 Aliases: www.yahoo.co.jp is an alias for www.g.yahoo.co.jp. www.g.yahoo.co.jp has IPv6 address 64:ff9b::7697:e7e7 www.g.yahoo.co.jp has IPv6 address 64:ff9b::b616:27f2 www.g.yahoo.co.jp has IPv6 address 64:ff9b::b616:28f0 www.g.yahoo.co.jp has IPv6 address 64:ff9b::b74f:e7b6
- IPv6なホストに対して本来のAAAAとは異なるアドレスがDNS64で返されること。
IPv6といえば、やはり kame ですよねー。だから kame.net の名前解決を比較します。
pi@raspberrypi:/etc/unbound $ host -t AAAA www.kame.net 8.8.8.8 Using domain server: Name: 8.8.8.8 Address: 8.8.8.8#53 Aliases: www.kame.net is an alias for orange.kame.net. orange.kame.net has IPv6 address 2001:200:dff:fff1:216:3eff:feb1:44d7 pi@raspberrypi:/etc/unbound $ host -t AAAA www.kame.net www.kame.net is an alias for orange.kame.net. orange.kame.net has IPv6 address 64:ff9b::cbb2:8dc2
このように www.kame.net の AAAA の応答結果が違っていることが確認できました。
これらが正常に動作していたら、あとはNAT64で仕上げです。
Jool で NAT64 を有効にする。
ソースパッケージを展開してコンパイル、インストールするだけです。
unzip Jool-3.4.4.zip cd Jool-3.4.4/mod make sudo make modules_install sudo depmod -a sudo modprobe jool pool6=64:ff9b::/96
ここまでの作業でNAT64が有効になっているはずです。WiFi側のクライアントから普通にインターネット側に出られることを確認してください。
なお、今回の作業手順では iftop をインストールしていますので、以下のように実行してみるとNAT64/DNS64の動作が可視化できるかもです。フィルタでポート22を除外しているので ssh 接続時でもバッチリです。
iftop -i eth0 -f "not port 22" iftop -i wlan0 -f "not port 22"
さて、NAT64/DNS64が動作することが確認できたら、NAT64を固定化するために以下の設定を行っておきます。
sudo vim /etc/modules
# /etc/modules: kernel modules to load at boot time. # # This file contains the names of kernel modules that should be loaded # at boot time, one per line. Lines beginning with "#" are ignored. jool
sudo vim /etc/modprobe.d/jool.conf
options jool pool6=64:ff9b::/96
最後に、もう一度再起動した上で、NAT64が有効に機能することを確認してください。
今後の課題？
NAT64/DNS64を使えば、クライアント側からは常にIPv6で通信が行えます。しかし、NAT64箱の外側はIPv4のままです。www.kame.net に接続しても kame が動いている状況を見ることはできません。
できれば、NAT64箱の外ともIPv6で通信できるほうがおもしろい。
これを実現するには、NAT64箱の外側にIPv6なアドレスを割り当てつつ、unbound で "dns64-synthall: yes" を無効化すればよさそうな気がします。
さて、NAT64箱の外側にIPv6 なアドレスを割り当てるには、どのような方法があるだろうか。ざっと思いつくのは3つの方法です。
- フレッツ光ネクストでIPv6 readyなプロバイダと契約する。
- 3G/LTEのモデムをつけて、IPv6/IPv4 のデュアルスタックなキャリアを選ぶ。
- ソフトイーサの「グローバル・固定 IPv6 アドレス割当型トンネル接続実験サービス」を使う。
まず、フレッツを使うのはもっともスタンダードな方法です。だけどこれは特定の場所に紐付きとなってしまうのでつまらない。
3G/LTEでやるのは場所に縛られずに使えるので悪くない方法です。月額費用が発生するけど仕事で使うならこれはやむなし。キャリアはIIJmioでいいんじゃないかな。唯一の懸念は、Linux でイーサネットに見える3G/LTEモデムって選択肢があまり多くなさげ、という点です。
ソフトイーサの実験サービスを使うのは、追加費用がかからないという点ではもっともすぐれているけど、これはバックボーンがWIDEプロジェクトなので商用利用は原則NGです。
ま、こんなことを考えつつ、IPv6のインターネットにも接続できるNAT64箱が作れればよいのですけどねー。