Публичный IPv6 на интерфейсе контейнера

Я не могу проверить это прямо здесь из-за $REASONS, но если этот контейнер запущен на шлюзовом роутере (то есть том, который отправляет DHCPv6 PD-запрос провайдеру), то проброс VETH должен работать вместе с этим: /ipv6 address add address=::123 from-pool=ipv6 interface=veth1. Это назначит статический IPv6-адрес ::123 из префикса PD для veth1. Вся фишка в том, как связаться с этим же контейнером, если ты не знаешь динамический префикс? Какой толк ты получил от этого маленького успеха? Вторая проблема — я не вижу, как это может заработать на любом другом устройстве с RouterOS в сети, потому что они не поймут, что значит “from-pool=ipv6”. Мне кажется, что при смене префикса нужно обновлять кучу всего, включая локальный DNS, который позволяет не заморачиваться, какой конкретно IPv6-адрес достался конкретному контейнеру.

Новый, улучшенный план Б: выбираем случайный ULA для этой локальной сети и назначаем его контейнеру: /ipv6 address  
add address=fddf:dffd:fdfd::123 advertise=no interface=veth1  
add address=fddf:dffd:fdfd::1 advertise=yes interface=bridge  

Так вы получите неизменяемый IPv6-префикс для использования в LAN. Причём, наличие нескольких IPv6-префиксов в одной локальной сети — не только нормально, но и практически неизбежно. Обычно я вижу примерно 4 адреса на каждом интерфейсе, которые активно используют IPv6.  

Вам нужны оба этих адреса: второй рассылает сообщения RA другим узлам в сети, чтобы они получили алиасы в той же IPv6-сети, а первый позволяет хостам LAN обращаться конкретно к контейнеру, привязанному к veth1. (Кстати, второй адрес даёт роутеру, который рассылает эти RA, адрес ::1.)

Читайте внимательнее: «interface=veth1»

Тогда я должен предположить, что вы пропустили моё предложение соединить VETH.

Если ты объединяешь VETH в мост, то можешь назначить ему любой IPv6-адрес, какой захочешь. Единственный логичный способ назначить GUA без знания префикса — это тот, что я описал в первом ответе, потому что он требует доступа к пулу PD. Во втором ответе я предложил альтернативу с использованием ULA как обходного пути, после чего можно сделать 1:1 NAT, чтобы показать адрес в публичной сети, если ты пытаешься настроить WAN-сервис.

Прежде чем отвечать на каждое ваше замечание, поймите, что у меня то, что я предложил выше, здесь работает на все 100%. Единственный случай, когда это может не сработать у вас — если вам нужно что-то, выходящее за рамки моего понимания. В этом случае ваша задача — чётче объяснить, чего именно вы пытаетесь добиться.  

Когда вы подключаете veth к мосту, там нет «двух сторон». Это одно целое. В контейнере нет SLAAC — это функция стекa Linux, который в данном случае обеспечивает RouterOS. Я говорю, что RouterOS должен назначить IPv6-адрес veth контейнера. В чём здесь сложность?

По моим наблюдениям, SLAAC внутри контейнеров RouterOS работает не полностью. Похоже, что сам контейнер не отправляет multicast-сообщения Router Solicitation. Даже если добавить префикс на мосте с интерфейсом VETH и включить рекламу, нельзя рассчитывать, что контейнер сразу после запуска получит IPv6-адрес. Контейнер выбирает адрес для себя только тогда, когда получает сообщение Router Advertisement (RA) от моста. Это значит, что при стандартных настройках может пройти до 10 минут, пока контейнер не получит IPv6-адрес из префикса моста через SLAAC (интервал RA по умолчанию установлен на 200–600 секунд). Кроме того, контейнер не использует информацию о шлюзе из RA, а это значит, что если вы не задали «gateway6» на интерфейсе VETH, то даже при получении сообщения RA у контейнера не будет маршрута по умолчанию для IPv6. То есть, если вы хотите, чтобы контейнер сразу имел возможность выходить в интернет по IPv6, нужно сделать следующее: добавить статический IPv6-адрес на интерфейс VETH, но не через /ipv6 address, а в свойствах интерфейса VETH; указать адрес маршрутизатора на мосту как gateway6 для VETH. Если у вас нет статического глобального префикса, придется использовать случайный ULA-префикс. В этом случае потребуются NAT-правила, я предпочитаю правило srcnat netmap, чтобы связать ULA-префикс с GUA-префиксом исходящего WAN-интерфейса. Если вы хотите использовать только SLAAC, можно не добавлять статический IPv6-адрес на VETH, но «gateway6» все равно обязателен. И, конечно, нужно быть готовым к тому, что первые несколько минут контейнер не будет иметь IPv6-соединения, пока не получит RA-мультикаст-сообщение.