Wie Protokoll-41 (6in4) durch die GCE-Firewall zulassen?

Question

Als eine Stop-Lücke, bis Google native IPv6 on Google Compute Engine unterstützt, möchte ich eine 6in4 (IP protocol 41) tunnel konfigurieren.

habe ich eine Firewall-Regel Protokoll 41 auf meinem VM-Netzwerk zu ermöglichen:

Name  Source tag/IP range Allowed protocols/ports Target tags 
allow-6in4 216.66.xxx.xxx   41       Apply to all targets 

und konfiguriert, um den Tunnel in /etc/network/interfaces:

auto 6in4 
iface 6in4 inet6 v4tunnel 
    address 2001:470:xxxx:xxxx::2 
    netmask 64 
    endpoint 216.66.xxx.xxx 
    gateway 2001:470:xxxx:xxxx::1 
    ttl 64 
    up ip link set mtu 1280 dev $IFACE 

Und ping6 2001:470:xxxx:xxxx::1 und verifiziert, dass 6in4 Verkehrsausgangs war:

$ sudo tcpdump -pni eth0 host 216.66.xxx.xxx 
tcpdump: verbose output suppressed, use -v or -vv for full protocol decode 
listening on eth0, link-type EN10MB (Ethernet), capture size 65535 bytes 
22:52:03.732841 IP 10.240.xxx.xxx > 216.66.xxx.xxx: IP6 2001:470:xxxx:xxxx::2 > 2001:470:xxxx:xxxx::1: ICMP6, echo request, seq 1, length 64 
22:52:04.740726 IP 10.240.xxx.xxx > 216.66.xxx.xxx: IP6 2001:470:xxxx:xxxx::2 > 2001:470:xxxx:xxxx::1: ICMP6, echo request, seq 2, length 64 
22:52:05.748690 IP 10.240.xxx.xxx > 216.66.xxx.xxx: IP6 2001:470:xxxx:xxxx::2 > 2001:470:xxxx:xxxx::1: ICMP6, echo request, seq 3, length 64 

Ich habe den Endpunkt temporaril geändert y zu einer Adresse, wo ich tcpdump ausführen kann, und bestätigt, dass Pakete nicht am Ziel ankommen. Ich habe sogar NAT selbst versucht, falls GCE das nicht für 6in4-Pakete gemacht hat, aber kein Glück (iptables -t nat -A POSTROUTING -p ipv6 -j SNAT --to-source 130.211.xxx.xxx).

Hat jemand einen 6in4-Tunnel bekommen, um auf einer GCE VM zu arbeiten? Gibt es eine magische Einstellung, die ich irgendwo verpasst habe?

Answer 1

TL; DR: Sie können nicht.

Per Networking and Firewalls:

Datenverkehr, der ein anderes Protokoll als TCP verwendet, UDP und ICMP blockiert wird, sofern dies nicht ausdrücklich durch Protokoll Forwarding erlaubt.

Per Protocol Forwarding:

Google Compute Engine unterstützt Protokollweiterleitung für die folgenden Protokolle:

AH: Gibt die IP-Authentication Header Protokoll.

ESP: Gibt das IP Encapsulating Security Payload-Protokoll an.

SCTP: Gibt das Stream Control Transmission Protocol an.

TCP: Gibt das Transmission Control Protocol an.

UDP: Gibt das Benutzerdatagrammprotokoll an.

Daher muss ein Protokoll Forwarding Regel für eine der folgenden IP protocol numbers sein:

• 51 (AH)
• 50 (ESP)
• 132 (SCTP)
• 6 (TCP)
• 17 (UDP)

Die Protocol Forwarding Seite macht deutlich, dass andere Protokollnummern, wie 41 (6in4) werden nicht unterstützt:

Hinweis: Dies ist eine vollständige Liste der unterstützten Protokolle. Nur Protokolle, die hier angezeigt werden, werden für die Protokollweiterleitung unterstützt.