IPv6 不能通过网桥工作

Question

我一周前安装了 Ubuntu 14.04 服务器。我将它用作虚拟机主机（安装了tasksel）。意思是用 kvm + libvirt 运行它。

我已经建立了与 13.10 相同的网桥。

auto p4p1
iface p4p1 inet manual
    up ifconfig $IFACE up
    down ifconfig $IFACE down

auto br0
iface br0 inet static
    address 46.182.xxx.xxx
    netmask 255.255.255.240
    gateway 46.182.xxx.xxx
    dns-nameservers 46.182.xxx.xxx 46.182.xxx.xxx
    bridge_ports p4p1
    bridge_stp off
    bridge_maxwait 0

iface br0 inet6 auto

针对 br0，我将我的虚拟机与<source bridge='br0'/>libvirt 中的定义连接起来。

我的虚拟机可以毫无问题地收到路由器广告消息。所有虚拟机都获得 IPv6 地址。

我的问题是 IPv6 不能通过网桥工作。但是当我针对 br0 打开 tcpdump 进行故障排除时，它确实有效。我曾尝试将界面手动设置为混杂模式，但这并不能使其正常工作，ifconfig br0 promisc.

为什么我在网桥上有 IPv4 地址？我不知道，老习惯，从不质疑。IPv6 在虚拟机主机上不起作用，但主机通过 RA 获取 IPv6 地址，就像虚拟机一样。

Answer 1

每个 IPv6 地址，甚至链路本地地址，都会根据其最后 24 位自动订阅多播组。如果启用了多播侦听，则默认情况下网桥会过滤掉（几乎）所有多播流量。当一个 IPv6 地址分配给一个接口时，系统必须通知网络该接口对该特定多播组感兴趣，并且必须被过滤器排除。以下是很好的介绍视频：https : //www.youtube.com/watch?v=O1JMdjnn0ao

多播侦听是为了防止大多数系统不感兴趣的多播数据包泛滥网络。您可以在小型部署中禁用多播侦听，而不会注意到任何大的差异。但这可能会对较大的部署产生重大的性能影响。

您可以通过以下方式禁用窥探：

echo -n 0 > /sys/class/net/<brif>/bridge/multicast_snooping

如果您想保护您的虚拟机免受不必要的流量和不必要的数据包处理，您可以启用侦听，但也可以在网络上启用多播查询器。查询器将定期广播查询数据包并更新交换机和网桥上的监听过滤器。可以通过以下方式在您的系统上启用查询器：

echo -n 1 > /sys/class/net/<brif>/bridge/multicast_querier

如果您启用了监听，您还必须在网络上有一个查询器。

无需启用 STP。关闭它可能更安全，除非您知道您正在桥接导致圆形路径的线段。如果您启用了 SLAAC（即autoconf=1, accept_ra=1），这也无关紧要。在网桥上启用 PROMISC 模式会隐式禁用监听。

这是对 IPv6 邻居发现 (ND) 和多播侦听器发现 (MLD)现代挑战的一个很好的总结。

Answer 2

您是否在接口上启用了 IPv6？如果桥接设备是 br0，则执行以下操作：

sysctl net.ipv6.conf.br0.disable_ipv6=0
sysctl net.ipv6.conf.br0.autoconf=1
sysctl net.ipv6.conf.br0.accept_ra=1
sysctl net.ipv6.conf.br0.accept_ra_defrtr=1

Answer 3

我在您的配置中看到的唯一明显的问题是：

    bridge_stp off

由于各种原因，需要在 libvirt 桥上启用 STP 。

将配置更改为：

    bridge_stp on

您也可以立即激活它，而无需重新启动网络：

$ sudo brctl stp br0 on