Ｖ６プラスの IPv６ 側を使って Wireguard VPN を接続する

最新の我が家のネットワーク図は次のようになっています。

Rakuten Casa が仲間入りしました。

クリックして拡大

これまで、外から中への接続のために、MAP-E で割り当てられた IPv4 ポートの一つを開放していて、このポートで Wireguard VPN を張れるようにしていました。

Wireguard は Raspberry Pi 3 model B にインストールしてあり、すでに IPv6 化はしていますが、VPN 接続自体は IPv4 のままでした。

client は MacBookAir や Android 機の  Wireguard アプリです。

この VPN 接続を IPv6 でできないか、ということです。

なぜ、突然こんなことを考えたか、といいますと、楽天ひかりの「クロスパス (DS−Lite 方式)」 を検討しているからす。

 

 

 

「楽天ひかり」は３年縛りはありますが、１年間無料で、２年目以降は ３,８００円 です（集合住宅の場合）。

これは、「フレッツ光ネクスト（ギガマンションタイプ）＋@nifty」の ３,９００円 よりも １００円 安くて済みます。

 

また、@nifty がノジマ に売却されてからは、なにかと速度制限がされるなど、サービス低下していることも ＠nifty 離れを決意させる理由です。 

 

 

 

 

「Ｖ６プラス（MAP−E 方式）」は、ポート数が２４０個と限定的ではあるものの IPv4 でポート開放ができますが「クロスパス（DS−Lite 方式）」はできません。

別件で、Ｖ６プラスで IPv6 ポートの開放をしました（Rakuten Casa の接続のために IPsec IKE を IPv6 でポート開放しました）。

そこで、ハタと気がついたのです。

　　「そうか、Wireguard VPN も接続を IPv6 化すれば、

　　　DS−Lite 方式でもポート開放できるじゃん」

と。

そこで、Ｖ６プラスの IPv6 側で Wireguard VPN 接続をしてみることにしました。

これができれば DS−Lite 方式でも同様にできることになります。

IPv4 の場合は、ルーターの NAT を通過するために ポートマッピング機能を使って設定しますが、IPv6 の場合は NAT はありません。

ですので、IPv6 フィルター機能で「特定ポート１を特定アドレスの特定ポート２向けのみ」 通過設定します。

まず、Wireguard の Server になる Raspberry Pi 3 model B のターミナルで ifconfig して、IPv6 アドレスを確認します。

次に RTX830 ルーターの設定をします。

IPv6 filter で「Client の ポート１」から「Server の IPv6 アドレス：ポート２」を、パススルー設定します。

　❏　Client：ポート１（例：12345）

　❏　Sever：ポート２（例：54321）

Wireguard のデフォルトポートは「51820」ですが、これとは違う番号がいいと思います。

ルーターを通過設定する障壁を少しでも高くするためです（ポート番号１ と ２ の計 10 桁を一致させにくくするのです。

ルーターで 「any_addr：ポート１」から「Sever_IPv6_addr：ポート２」以外はリジェクトするのです。

できれば、Client の IPv6 アドレスも限定したいところですが、Client は キャリアの LTE 網か、フリー WiFi から接続をすることを想定していますので、IPv6 アドレスの固定化は無理があります。

ルーター側の IPv6 ポート開放（IPv6 フィルター通過設定）はこれだけです。

問題は Client 側の設定です。

Android の Wireguard アプリの「接続先設定」に「Sever_IPv6_addr：ポート」設定をしようとしますが、直接に IPv6 アドレスを書き込めないのです。

設定エラーになってしまいます。

このフィールドには IPv4 アドレスか、DDNS 名しか記述できず、IPv6 アドレスを記述できないのです。

DDNS を使うしかないか、と考え、No-IP で設定しますが、IPv6 アドレス解決はしてくれません。

それでは、と RTX830 ルーターのネットボランチ機能で DDNS 設定できないかを調べてみましたら、ルーターアドレスは IPv6 で登録できますが、配下の機器の IPv6 アドレスは登録できません。

困ってしまいました。

　⇓

　⇓

　⇓

　⇓

いろいろ調べてみましたら、i.open.ad.jp という「ソフトイーサ株式会社が開発・提供している NTT 東日本のフレッツ光ネクスト用の DDNS サービス」がありました。

早速、xxxx.i.open.ad.jp に Raspberry Pi 3 model B の IPv6 アドレスを登録、開放した IPv6 のポート（IPv6 フィルターでパススルーしたポート）を Android Wireguard アプリに設定してあっさりとつなげることができました。

　　※ xxxx は i.open.ad.jp の一意に定まるサブネット名

　　　簡単にいうと「先取り」した方が採用される名前

 

ネット速度も IPv4 接続時に比べて一段と早くなったような気がします。

【IPv4 over IPv6 について】

IPv4 over IPv6 技術には大きく MAP-E（RFC7597）、DS-Lite（RFC6333）、4rd/SAM（RFC7600）があります。

4rd/SAM は MAP-E の前身ともいわれていますが、厳密な意味では現在国内ではサービスされていません。

BBIX は 4rd/SAM では？ ということが一時期いわれていたことがありますが、これは IPv4 とIPv6 の共存の仕方の一つではあるが、独自で IPIP であるけれども 4rd/SAM ではないようです。

国内では、JPNE がサービスする「Ｖ６プラス」や、マルチフィードがサービスする「Transix」、BBIX の「4rd/SAM もどき」が代表的です。

「Ｖ６プラス」、「Transix」はサービス名称で、方式名はそれぞれ「MAP−E」、「DS−Lite」です。

「クロスパス」はアルテリア・ネットワークスがイネイブラーとしてサービスする「DS−Lite 方式」のサービス名称です。

MAP−E との大きな違いは NAT がステートレス（CPE がルーター側）か、ステートフル（PE がプロバイダー、すなわちネットワークイネイブラー側）かです。 

ステートレスは IPv4 ポート開放が限定的ではあってもできますが、ステートフルは IPv4 ポート開放はできません。

ところが IPoE 接続である IPv6 はどちらの方式であっても、自由にポート開放ができます。

今回は、この仕組みを利用した、ということです。